Relevanssi Light <= 1.2.2 - Unauthenticated SQL Injection (inyeccion SQL) - version 1.2.3

Resumen ejecutivo

La versión 1.2.2 del plugin Relevanssi Light presenta una vulnerabilidad de inyección SQL no autenticada, con un CVSS de 7.5. Esta falla puede comprometer la integridad de la base de datos y permitir accesos no autorizados a información sensible.

Contexto técnico

La vulnerabilidad se encuentra en el plugin Relevanssi Light, que permite realizar consultas SQL sin la debida autenticación. Esto expone a los sitios web a ataques que pueden manipular la base de datos de forma maliciosa.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar consultas SQL arbitrarias, lo que podría resultar en la pérdida de datos o en la exposición de información confidencial. Esto puede afectar la reputación del negocio y la confianza del usuario.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas a través de la interfaz del plugin, sin necesidad de autenticarse, lo que facilita el acceso no autorizado.

Mitigación recomendada

Actualizar el plugin Relevanssi Light a la versión 1.2.3 o superior. Revisar los registros de acceso para detectar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web.

Señales de detección

Señales de posible explotación incluyen solicitudes inusuales en los logs de acceso que intentan ejecutar consultas SQL, así como errores de base de datos que no corresponden a la lógica de la aplicación.

Alcance afectado

Las versiones afectadas son todas las versiones anteriores a la 1.2.3 del plugin Relevanssi Light. No se han confirmado casos en otras versiones o componentes relacionados.