AI Chatbot & Workflow Automation by AIWU <= 1.5.6 - Unauthenticated SQL Injection in getListForTbl() en AI Copilot Content Generator (inyeccion SQL) - version 1.5.8

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin AI Chatbot & Workflow Automation por AIWU, hasta la versión 1.4.17. Esta falla permite a un atacante no autenticado ejecutar consultas SQL arbitrarias, lo que puede comprometer la integridad de los datos y la seguridad del sitio.

Contexto técnico

La vulnerabilidad se origina en la función getListForTbl() del plugin, que no valida adecuadamente las entradas del usuario. Esto permite a un atacante enviar solicitudes maliciosas a la base de datos sin necesidad de autenticación, exponiendo así el sistema a ataques de inyección SQL.

Impacto potencial

El impacto de esta vulnerabilidad es significativo, ya que permite a un atacante acceder y manipular datos sensibles, lo que podría resultar en la pérdida de datos, alteraciones no autorizadas y, en última instancia, afectar la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas a la función vulnerable, permitiendo la ejecución de comandos SQL maliciosos.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 1.5.8. Actualiza ai-copilot-content-generator a la versión 1.5.8 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 1.5.8, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Monitorear los logs de acceso en busca de patrones inusuales en las solicitudes a la función getListForTbl(), así como errores SQL que puedan indicar intentos de explotación.

Alcance afectado

Las versiones del plugin AI Chatbot & Workflow Automation por AIWU hasta la 1.4.17 son vulnerables. No se han confirmado otros escenarios o versiones afectadas.