ERP <= 1.16.10 - Authenticated (Crm agent+) SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin ERP hasta la versión 1.16.10, que puede ser explotada por usuarios autenticados. Esta falla puede comprometer la integridad de los datos y la seguridad operativa del sistema.

Contexto técnico

La vulnerabilidad se encuentra en el componente ERP, específicamente en las funciones que manejan las solicitudes de CRM. Los atacantes autenticados pueden enviar consultas SQL manipuladas a través de formularios, lo que permite ejecutar comandos no autorizados en la base de datos.

Impacto potencial

El impacto de esta vulnerabilidad puede resultar en la exposición de datos sensibles y la alteración de la base de datos, afectando la confianza del cliente y la reputación de la empresa. Dado su nivel de severidad medio (CVSS 6.5), es crucial abordar esta falla para evitar posibles brechas de seguridad.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas tras iniciar sesión como usuarios autenticados, lo que les permite ejecutar consultas SQL maliciosas.

Mitigación recomendada

Actualizar el plugin ERP a la versión 1.16.11 o superior para corregir la vulnerabilidad. Revisar los registros de acceso para detectar actividades inusuales relacionadas con la manipulación de datos. Implementar medidas de seguridad adicionales, como la restricción de acceso a funciones críticas del plugin.

Señales de detección

Monitorear los logs de acceso en busca de patrones de consultas SQL inusuales o errores inesperados que puedan indicar intentos de explotación.

Alcance afectado

Las versiones del plugin ERP hasta la 1.16.10 están afectadas. No se han confirmado casos en versiones posteriores a la 1.16.11.