Form Maker by 10Web <= 1.15.43 - Authenticated (Administrator+) SQL Injection via 'name' Parameter (inyeccion SQL) - version 1.15.44

Resumen ejecutivo

Se ha detectado una vulnerabilidad de inyección SQL en el plugin Form Maker de 10Web, que afecta a las versiones hasta la 1.15.43. Esta falla permite a un atacante autenticado con privilegios de administrador ejecutar consultas SQL maliciosas, comprometiendo la integridad de la base de datos y la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en el parámetro 'name' del plugin Form Maker, lo que permite a un atacante autenticado manipular consultas SQL. La exposición se da en entornos donde el plugin está instalado y el atacante tiene acceso como administrador.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir la pérdida de datos, la alteración de la base de datos y la posibilidad de comprometer la seguridad del sitio web. Esto puede resultar en una interrupción del servicio y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas a la aplicación web, aprovechando el acceso de administrador para ejecutar inyecciones SQL.

Mitigación recomendada

Actualizar el plugin Form Maker a la versión 1.15.44 o superior. Revisar los registros de acceso para detectar actividades sospechosas. Implementar controles de acceso más estrictos para los usuarios con privilegios de administrador.

Señales de detección

Señales de riesgo incluyen registros de errores SQL en los logs de la aplicación y modificaciones no autorizadas en la base de datos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.15.44. No se han confirmado escenarios adicionales de vulnerabilidad en versiones posteriores.