EventON - WordPress Virtual Event Calendar Plugin <= 5.0.11 - Unauthenticated Blind SQL Injection via Search Parameter (inyeccion SQL)

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin EventON para WordPress, que permite la inyección SQL no autenticada a través de parámetros de búsqueda. Esta debilidad puede comprometer gravemente la seguridad de los datos y la integridad del sistema.

Contexto técnico

El fallo se presenta en el plugin EventON hasta la versión 5.0.11, donde un atacante puede explotar un parámetro de búsqueda para ejecutar consultas SQL maliciosas. La falta de validación adecuada de las entradas permite este tipo de inyección, exponiendo la base de datos del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la filtración de información sensible, manipulación de datos y, en última instancia, el control total del sitio. Esto puede llevar a una pérdida de confianza por parte de los usuarios y un daño significativo a la reputación del negocio.

Vector de explotación

Los atacantes pueden enviar solicitudes manipuladas a través del parámetro de búsqueda del plugin, lo que les permite ejecutar comandos SQL en la base de datos sin necesidad de autenticación.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 5.0.11. Actualiza eventon a la versión 5.0.11 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 5.0.11, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Monitorizar los logs de acceso en busca de patrones inusuales en las solicitudes a la funcionalidad de búsqueda del plugin, así como errores SQL en los registros del servidor.

Alcance afectado

Las versiones del plugin EventON hasta la 5.0.11 están afectadas. No se han confirmado casos de explotación en versiones superiores o en instalaciones que no usen este plugin.