Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.0.12 - Unauthenticated SQL Injection (inyeccion SQL) - version 6.0.13

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL no autenticada en el plugin Kirki, afectando a versiones hasta la 6.0.12. Este fallo de alta severidad puede permitir a atacantes acceder a datos sensibles, comprometiendo la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se encuentra en el plugin Kirki, utilizado para la construcción y personalización de páginas en WordPress. La inyección SQL se produce debido a la falta de validación adecuada en las entradas, permitiendo que un atacante ejecute consultas maliciosas en la base de datos sin necesidad de autenticación.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a información confidencial almacenada en la base de datos, lo que podría resultar en la exposición de datos de usuarios y configuraciones críticas del sitio. Esto puede llevar a pérdidas financieras y daño a la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante el envío de solicitudes HTTP manipuladas que incluyen parámetros SQL maliciosos, lo que permite al atacante ejecutar comandos en la base de datos del sitio web.

Mitigación recomendada

Actualizar el plugin Kirki a la versión 6.0.13 o superior. Revisar los registros de acceso y errores para identificar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web (WAF), para filtrar tráfico malicioso.

Señales de detección

Señales de riesgo incluyen registros de consultas SQL inusuales, errores de base de datos en los logs y tráfico sospechoso en las rutas de acceso del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.0.13. No se han confirmado casos de explotación en versiones posteriores.