BookingPress Appointment Booking Pro <= 5.7.1 - Unauthenticated SQL Injection via 'store_service_date' Parameter (inyeccion SQL) - version 5.7.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin BookingPress Appointment Booking Pro, afectando a versiones hasta la 5.7.1. Esta falla permite a atacantes no autenticados ejecutar consultas maliciosas, lo que puede comprometer la integridad de los datos y la seguridad del sistema.

Contexto técnico

La vulnerabilidad reside en el parámetro 'store_service_date', que no valida adecuadamente las entradas del usuario. Esto permite que un atacante envíe solicitudes manipuladas para ejecutar consultas SQL arbitrarias en la base de datos del sitio web, exponiendo así información sensible.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite el acceso no autorizado a datos críticos, potencialmente afectando la confianza del cliente y la reputación de la empresa. Además, puede facilitar ataques adicionales en el entorno del servidor.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas que incluyan datos maliciosos en el parámetro 'store_service_date'.

Mitigación recomendada

Actualizar el plugin BookingPress Appointment Booking Pro a la versión 5.7.2 o superior. Revisar y limpiar las entradas de datos en el sistema para prevenir inyecciones SQL. Implementar medidas de seguridad adicionales, como el uso de un firewall de aplicaciones web (WAF). Realizar auditorías de seguridad periódicas para identificar y mitigar otras posibles vulnerabilidades.

Señales de detección

Señales de riesgo incluyen registros de errores SQL en los logs del servidor y patrones inusuales de solicitudes HTTP que intentan manipular el parámetro 'store_service_date'.

Alcance afectado

Esta vulnerabilidad afecta a todas las instalaciones del plugin BookingPress Appointment Booking Pro en versiones hasta la 5.7.1. No se han reportado casos de explotación en versiones posteriores.