WP Import – Ultimate CSV XML Importer for WordPress <= 7.37 - Authenticated (Subscriber+) SQL Injection via File Name

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin WP Import – Ultimate CSV XML Importer para WordPress, que afecta a versiones anteriores a la 7.38. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior ejecutar consultas SQL maliciosas.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja los nombres de archivo durante el proceso de importación. Un atacante autenticado puede manipular estos nombres para inyectar código SQL en la base de datos, comprometiendo así la integridad de la misma.

Impacto potencial

El impacto potencial incluye la posibilidad de acceso no autorizado a datos sensibles, alteración de información en la base de datos y potenciales daños a la reputación del negocio. La explotación de esta vulnerabilidad puede llevar a pérdidas económicas y a la exposición de datos de usuarios.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la modificación del nombre del archivo durante la importación de datos, lo que permite al atacante ejecutar consultas SQL no autorizadas en la base de datos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 7.38 o superior. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de hardening en la base de datos para limitar el impacto de posibles inyecciones SQL.

Señales de detección

Señales de riesgo incluyen registros de actividad inusual en el sistema de importación de archivos, intentos de acceso no autorizados y modificaciones inesperadas en la base de datos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 7.38 del plugin WP Import – Ultimate CSV XML Importer.