Tutor LMS <= 3.9.8 - Authenticated (Admin+) SQL Injection via 'date' Parameter

Resumen ejecutivo

Se ha detectado una vulnerabilidad de inyección SQL en Tutor LMS hasta la versión 3.9.8, que permite a administradores autenticados explotar el parámetro 'date'. Esto puede comprometer la integridad de los datos y la seguridad del sistema.

Contexto técnico

La vulnerabilidad se presenta en el plugin Tutor LMS, específicamente en el manejo del parámetro 'date'. Un atacante con privilegios de administrador puede manipular este parámetro para ejecutar consultas SQL maliciosas, afectando la base de datos del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder y modificar datos críticos del sistema. Esto podría resultar en la pérdida de información, alteración de registros y potenciales brechas de seguridad.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes manipuladas que incluyen el parámetro 'date', lo que permite ejecutar código SQL no autorizado en la base de datos.

Mitigación recomendada

Actualizar el plugin Tutor LMS a la versión 3.9.9 o superior para corregir la vulnerabilidad. Revisar y restringir los permisos de los usuarios administradores para minimizar el riesgo de explotación. Implementar medidas de seguridad adicionales, como firewalls y monitoreo de actividad sospechosa.

Señales de detección

Señales de riesgo incluyen registros de consultas SQL inusuales en la base de datos y accesos no autorizados a funciones administrativas del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.9.9. No se han confirmado casos de explotación en versiones posteriores.