AI Chatbot & Workflow Automation by AIWU <= 1.4.17 - Unauthenticated SQL Injection in getListForTbl() en AI Copilot Content Generator (inyeccion SQL)

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin AI Chatbot & Workflow Automation por AIWU, hasta la versión 1.4.17. Esta falla permite a un atacante no autenticado ejecutar consultas SQL arbitrarias, lo que puede comprometer la integridad de los datos y la seguridad del sitio.

Contexto técnico

La vulnerabilidad se origina en la función getListForTbl() del plugin, que no valida adecuadamente las entradas del usuario. Esto permite a un atacante enviar solicitudes maliciosas a la base de datos sin necesidad de autenticación, exponiendo así el sistema a ataques de inyección SQL.

Impacto potencial

El impacto de esta vulnerabilidad es significativo, ya que permite a un atacante acceder y manipular datos sensibles, lo que podría resultar en la pérdida de datos, alteraciones no autorizadas y, en última instancia, afectar la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas a la función vulnerable, permitiendo la ejecución de comandos SQL maliciosos.

Mitigación recomendada

Actualizar el plugin AI Chatbot & Workflow Automation a la versión 1.4.17 o superior. Revisar y validar todas las entradas de usuario para prevenir inyecciones SQL en el futuro. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF).

Señales de detección

Monitorear los logs de acceso en busca de patrones inusuales en las solicitudes a la función getListForTbl(), así como errores SQL que puedan indicar intentos de explotación.

Alcance afectado

Las versiones del plugin AI Chatbot & Workflow Automation por AIWU hasta la 1.4.17 son vulnerables. No se han confirmado otros escenarios o versiones afectadas.