WP All Import – Drag & Drop Import for CSV, XML, Excel & Google Sheets <= 4.0.1 - Authenticated (Administrator+) SQL Injection (inyeccion SQL) - version 4.1.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin WP All Import, afectando a versiones hasta la 4.0.1. Este fallo permite a administradores autenticados ejecutar consultas SQL maliciosas, lo que puede comprometer la integridad de la base de datos.

Contexto técnico

La vulnerabilidad se presenta en el plugin WP All Import, específicamente en las versiones anteriores a la 4.1.0. Los atacantes pueden explotar este fallo mediante peticiones HTTP autenticadas, lo que les permite manipular consultas SQL y potencialmente acceder a datos sensibles.

Impacto potencial

El impacto en la seguridad puede incluir la exposición de datos confidenciales y la posibilidad de alterar información crítica en la base de datos. Esto puede afectar la confianza de los usuarios y la reputación de la organización, así como tener implicaciones legales.

Vector de explotación

La explotación se lleva a cabo a través de solicitudes HTTP que incluyen parámetros manipulados, permitiendo la ejecución de comandos SQL no autorizados por un administrador autenticado.

Mitigación recomendada

Actualizar WP All Import a la versión 4.1.0 o superior para corregir la vulnerabilidad. Revisar los registros de acceso para detectar actividades sospechosas relacionadas con el plugin. Implementar medidas de seguridad adicionales como la restricción de acceso a la administración y el uso de firewalls.

Señales de detección

Señales de posible explotación incluyen registros de errores SQL inusuales y accesos no autorizados a funciones administrativas del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.1.0 de WP All Import. No se han confirmado casos en versiones posteriores.