Newsletters <= 4.13 - Unauthenticated SQL Injection via wpmlsubscriber_id Parameter en Newsletters Lite (inyeccion SQL) - version 4.14

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Newsletters Lite, que afecta a versiones hasta la 4.13. Este fallo permite a un atacante no autenticado ejecutar consultas SQL maliciosas, comprometiendo la integridad de la base de datos y la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en el parámetro 'wpmlsubscriber_id', que no valida adecuadamente las entradas de usuario. Esto permite a los atacantes inyectar código SQL a través de peticiones HTTP, afectando la base de datos del sitio web.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la divulgación de información sensible, manipulación de datos y potencial acceso no autorizado a la base de datos. Esto puede resultar en pérdidas financieras y daño a la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP maliciosas que incluyen un payload SQL en el parámetro vulnerable, lo que les permite ejecutar comandos SQL no autorizados.

Mitigación recomendada

Actualizar el plugin Newsletters Lite a la versión 4.14 o superior. Revisar los logs de acceso en busca de actividades sospechosas relacionadas con el parámetro wpmlsubscriber_id. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF) para mitigar futuros ataques.

Señales de detección

Monitorear logs de acceso para detectar patrones inusuales en las solicitudes que incluyan el parámetro wpmlsubscriber_id, así como errores SQL en los registros del servidor.

Alcance afectado

Las versiones del plugin Newsletters Lite hasta la 4.13 están afectadas. No se han confirmado otros escenarios de explotación en versiones posteriores a la 4.14.