JetEngine <= 3.8.10.1 - Unauthenticated SQL Injection via Listing Grid Load More AJAX Endpoint en JET Engine (inyeccion SQL) - version 3.8.10.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL no autenticada en el plugin JetEngine, afectando a versiones hasta la 3.8.10.1. Este fallo permite a atacantes remotos ejecutar consultas SQL arbitrarias, comprometiendo la integridad de la base de datos y la seguridad del sitio.

Contexto técnico

La vulnerabilidad se presenta a través del endpoint AJAX 'Listing Grid Load More', donde un atacante puede enviar solicitudes maliciosas que no requieren autenticación. Esto expone la base de datos a inyecciones SQL, facilitando el acceso no autorizado a datos sensibles.

Impacto potencial

El impacto de esta vulnerabilidad es alto, ya que puede permitir a un atacante acceder y manipular datos críticos, lo que podría resultar en la pérdida de información, alteración de datos y daños a la reputación del negocio. La explotación exitosa puede llevar a una completa toma de control del sitio web.

Vector de explotación

El vector de explotación implica el envío de solicitudes AJAX manipuladas al endpoint vulnerable, lo que permite la ejecución de comandos SQL sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin JetEngine a la versión 3.8.10.2 o posterior. Revisar y asegurar la configuración del servidor para limitar el acceso a endpoints críticos. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web (WAF) para filtrar solicitudes maliciosas.

Señales de detección

Señales de riesgo incluyen registros de errores inusuales en la base de datos, entradas inesperadas en logs de acceso y patrones de tráfico anómalos hacia el endpoint AJAX mencionado.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.8.10.2 del plugin JetEngine. No se han confirmado casos en versiones posteriores.