wpDataTables (Premium) <= 7.3.6 - Unauthenticated SQL Injection (inyeccion SQL) - version 7.4

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL no autenticada en el plugin wpDataTables (Premium) hasta la versión 7.3.6. Esta debilidad permite a un atacante ejecutar consultas SQL arbitrarias, lo que puede comprometer la integridad de la base de datos y la seguridad del sitio.

Contexto técnico

El fallo se presenta en el plugin wpDataTables, permitiendo a los atacantes enviar consultas SQL maliciosas sin necesidad de autenticación. La superficie de ataque se expone a través de parámetros no validados en las solicitudes, lo que facilita la explotación.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la exposición de datos sensibles y la manipulación de la base de datos, afectando la operación del negocio y la confianza de los usuarios. La severidad alta (CVSS 7.5) indica un riesgo significativo que requiere atención inmediata.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas al servidor que contienen consultas SQL maliciosas, lo que puede llevar a la extracción o modificación de datos.

Mitigación recomendada

Actualizar el plugin wpDataTables a la versión 7.4 o superior para cerrar la vulnerabilidad. Revisar y validar todas las entradas de usuario en las consultas SQL para prevenir inyecciones. Monitorear los registros del servidor en busca de patrones inusuales que indiquen intentos de explotación.

Señales de detección

Señales de riesgo incluyen registros de errores SQL inusuales, intentos de acceso no autorizados a la base de datos y cambios inesperados en los datos.

Alcance afectado

Las versiones afectadas son todas las versiones de wpDataTables (Premium) hasta la 7.3.6. La versión 7.4 y posteriores están corregidas.