WC Vendors – WooCommerce Multivendor, WooCommerce Marketplace, Product Vendors <= 2.6.8 - Authenticated (Subscriber+) SQL Injection (inyeccion SQL) - version 2.6.9

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin WC Vendors, que afecta a versiones hasta la 2.6.8. Esta falla permite a usuarios autenticados ejecutar consultas maliciosas, comprometiendo la integridad de la base de datos y la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en el plugin WC Vendors, utilizado para crear marketplaces en WooCommerce. Permite a usuarios autenticados con rol de suscriptor o superior realizar inyecciones SQL, afectando la base de datos del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede derivar en la exposición de datos sensibles y manipulación de la base de datos, lo que podría afectar la confianza del cliente y la operativa del negocio. La severidad se clasifica como media, con un CVSS de 6.5.

Vector de explotación

La explotación se realiza mediante el envío de peticiones manipuladas a las funciones del plugin, aprovechando la falta de validación adecuada de las entradas del usuario.

Mitigación recomendada

Actualizar el plugin WC Vendors a la versión 2.6.9 o superior. Revisar los registros de accesos para identificar actividades sospechosas. Implementar medidas de seguridad adicionales, como el uso de un firewall de aplicaciones web.

Señales de detección

Señales a tener en cuenta incluyen entradas inusuales en los registros de consultas SQL, intentos de acceso no autorizados y cambios inesperados en la base de datos.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin WC Vendors hasta la 2.6.8. No se han confirmado otros escenarios fuera de este alcance.