Chaty Pro <= 3.5.5 - Authenticated (Subscriber+) SQL Injection via 'widget_id' Parameter (inyeccion SQL) - version 3.5.6

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Chaty Pro, afectando a versiones hasta la 3.5.5. Esta falla puede ser explotada por usuarios autenticados, comprometiendo la integridad de la base de datos y afectando la operación del sitio.

Contexto técnico

El fallo se produce a través del parámetro 'widget_id', permitiendo a usuarios con rol de suscriptor o superior realizar consultas SQL maliciosas. La superficie de ataque se limita a aquellos que han iniciado sesión en el sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante autenticado manipular datos en la base de datos, lo que podría resultar en la pérdida de datos o alteraciones no autorizadas, afectando la confianza del usuario y la reputación del negocio.

Vector de explotación

La inyección SQL se lleva a cabo mediante el envío de solicitudes manipuladas a través del parámetro 'widget_id' en el contexto de un usuario autenticado.

Mitigación recomendada

Actualizar el plugin Chaty Pro a la versión 3.5.6 o superior para corregir la vulnerabilidad. Revisar los permisos de los roles de usuario, limitando el acceso a funciones críticas. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales en las solicitudes que incluyan el parámetro 'widget_id' y cualquier actividad sospechosa por parte de usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.5.6 del plugin Chaty Pro. No se han confirmado casos de explotación en versiones posteriores.