Icegram Engage <= 3.1.42 - Authenticated (Contributor+) Second-Order SQL Injection via 'messages[][id]' Parameter (inyeccion SQL) - version 3.1.43

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo SQL Injection en el plugin Icegram Engage, que afecta a las versiones hasta la 3.1.42. Esta falla permite a un atacante autenticado ejecutar consultas SQL maliciosas, lo que puede comprometer la integridad de la base de datos y la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en el parámetro 'messages[][id]' del plugin Icegram Engage. Un atacante con rol de contribuyente o superior puede manipular este parámetro para inyectar código SQL, lo que permite la ejecución de consultas no autorizadas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite el acceso no autorizado a datos sensibles y la posibilidad de alterar la base de datos. Esto puede resultar en pérdida de datos, alteración de información y daños a la reputación del negocio.

Vector de explotación

Generalmente, la explotación se realiza mediante la modificación del parámetro 'messages[][id]' en solicitudes HTTP, lo que permite ejecutar comandos SQL maliciosos en el servidor.

Mitigación recomendada

Actualizar el plugin Icegram Engage a la versión 3.1.43 o superior para cerrar la vulnerabilidad. Revisar los permisos de usuario y asegurar que solo los roles necesarios tengan acceso a funciones críticas. Implementar medidas de seguridad adicionales como un firewall de aplicaciones web (WAF) para mitigar riesgos futuros.

Señales de detección

Observa registros de actividad inusuales en la base de datos y solicitudes HTTP que intenten manipular el parámetro 'messages[][id]'.

Alcance afectado

Las versiones afectadas son todas las versiones de Icegram Engage hasta la 3.1.42. No se han confirmado otros escenarios afectados.