Catalyst Connect Zoho CRM Client Portal <= 2.2.0 - Authenticated (Administrator+) SQL Injection via uid Parameter en Catalyst Connect Client Portal (inyeccion SQL)

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Catalyst Connect para Zoho CRM, afectando a versiones hasta la 2.2.0. Esta falla permite a administradores autenticados realizar consultas maliciosas, comprometiendo la integridad de la base de datos.

Contexto técnico

El fallo se origina en el parámetro 'uid', que permite la ejecución de consultas SQL no controladas por el sistema. La superficie de ataque se limita a usuarios con privilegios de administrador, quienes pueden manipular este parámetro durante la interacción con el plugin.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la divulgación de datos sensibles y a la modificación no autorizada de la base de datos, afectando la operativa del negocio y la confianza del cliente. La severidad se clasifica como media (CVSS 4.9), lo que indica un riesgo considerable que debe ser abordado.

Vector de explotación

Generalmente, la explotación se realiza mediante la manipulación del parámetro 'uid' en solicitudes HTTP, permitiendo que un atacante valide y ejecute código SQL malicioso en el servidor.

Mitigación recomendada

Actualizar el plugin Catalyst Connect a la versión 2.2.0 o superior para corregir la vulnerabilidad. Revisar y auditar los logs de acceso para identificar actividades sospechosas relacionadas con el uso del parámetro 'uid'. Implementar medidas de seguridad adicionales, como la validación de entradas y el uso de consultas parametrizadas.

Señales de detección

Señales de riesgo pueden incluir registros de errores SQL inusuales o intentos de acceso no autorizados que involucren el parámetro 'uid'. También se debe monitorear la configuración del plugin para detectar cambios no autorizados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.2.0 del plugin Catalyst Connect. No se han confirmado casos de explotación en versiones posteriores.