SMS Alert <= 3.9.7 - Authenticated (Administrator+) SQL Injection via 'checkout_payment_plans' and 'order_status' Settings (inyeccion SQL) - version 3.9.8

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin SMS Alert, afectando a las versiones hasta la 3.9.7. Esta falla puede permitir a un atacante autenticado realizar consultas maliciosas, comprometiendo la integridad de la base de datos y los datos del usuario.

Contexto técnico

La vulnerabilidad se encuentra en los ajustes 'checkout_payment_plans' y 'order_status', donde un atacante con privilegios de administrador puede inyectar código SQL a través de entradas manipuladas. Esto expone la base de datos a consultas no autorizadas.

Impacto potencial

El impacto en la seguridad puede ser significativo, permitiendo la extracción o modificación de datos sensibles. Esto podría resultar en pérdida de confianza de los usuarios y posibles sanciones regulatorias, afectando la reputación del negocio.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes maliciosas a los parámetros vulnerables tras autenticarse como administrador, lo que facilita la ejecución de consultas SQL arbitrarias.

Mitigación recomendada

Actualizar el plugin SMS Alert a la versión 3.9.8 o superior para cerrar la vulnerabilidad. Revisar los registros de actividad para detectar accesos no autorizados o inusuales. Implementar medidas de seguridad adicionales como la validación de entradas y la restricción de privilegios de usuario.

Señales de detección

Señales a observar incluyen entradas inusuales en los logs de acceso y errores SQL en la base de datos, así como cambios inesperados en los ajustes del plugin.

Alcance afectado

Las versiones afectadas son SMS Alert hasta la 3.9.7. No se han confirmado casos en versiones posteriores ni en otros plugins relacionados.