Tablesome Table – Contact Form DB – WPForms, CF7, Gravity, Forminator, Fluent <= 1.2.3 - Authenticated (Subscriber+) SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Tablesome Table, afectando a las versiones hasta la 1.2.3. Esta falla puede ser explotada por usuarios autenticados con rol de suscriptor o superior.

Contexto técnico

La vulnerabilidad permite a un atacante realizar inyecciones SQL a través de entradas no adecuadamente sanitizadas en el plugin. Esto puede comprometer la base de datos del sitio, facilitando el acceso no autorizado a información sensible.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante obtener datos confidenciales o modificar información en la base de datos, lo que puede llevar a la pérdida de confianza de los usuarios y daños reputacionales.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la manipulación de formularios de contacto o entradas donde el plugin procesa datos sin la debida validación, permitiendo la inyección de código SQL malicioso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.2.4 o superior. Además, se debe revisar la configuración de permisos de los usuarios y aplicar medidas de hardening en la base de datos.

Señales de detección

Señales de posible explotación incluyen registros de errores SQL en el servidor, intentos de acceso no autorizado a la base de datos o actividad inusual en las consultas de la base de datos.

Alcance afectado

Las versiones del plugin Tablesome Table hasta la 1.2.3 están afectadas. Es crucial verificar todas las instalaciones que utilicen este plugin.