Software Issue Manager <= 5.0.0 - Unauthenticated SQL Injection (inyeccion SQL) - version 5.1.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de inyección SQL en el plugin Software Issue Manager en versiones hasta la 5.0.0. Este fallo permite a atacantes no autenticados ejecutar consultas SQL arbitrarias, comprometiendo la integridad de la base de datos y la seguridad del sitio.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las entradas en el plugin, permitiendo que un atacante envíe solicitudes manipuladas que son procesadas por la base de datos. La superficie de ataque se centra en formularios y endpoints accesibles sin autenticación.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la exposición de datos sensibles y en la alteración de la base de datos, lo que podría llevar a pérdidas financieras y a la reputación del negocio. La severidad de esta vulnerabilidad, con un CVSS de 7.5, indica un riesgo elevado.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes HTTP manipuladas que incluyen inyecciones SQL, lo que les permite ejecutar comandos maliciosos en la base de datos.

Mitigación recomendada

Actualizar el plugin Software Issue Manager a la versión 5.1.0 o superior para corregir la vulnerabilidad. Revisar y reforzar las validaciones de entrada en todos los formularios del sitio. Implementar medidas de monitoreo para detectar actividades sospechosas en la base de datos.

Señales de detección

Monitorear los registros de acceso para identificar patrones inusuales en las solicitudes, así como errores relacionados con consultas SQL en los logs del servidor.

Alcance afectado

Las versiones del plugin Software Issue Manager hasta la 5.0.0 están afectadas. No se han confirmado otros escenarios o plugins relacionados con esta vulnerabilidad.