Booking for Appointments and Events Calendar – Amelia <= 2.4.2 - Unauthenticated SQL Injection en Ameliabooking (inyeccion SQL) - version 2.4.3

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL no autenticada en el plugin Amelia Booking, que afecta a versiones hasta la 2.4.2. Esta falla de alta severidad puede permitir a atacantes acceder a datos sensibles, comprometiendo la seguridad operativa del sitio.

Contexto técnico

La vulnerabilidad se encuentra en el componente del plugin Amelia Booking, permitiendo la ejecución de consultas SQL maliciosas debido a la falta de validación en las entradas del usuario. Esto expone el sistema a ataques desde cualquier fuente externa, dado que no se requiere autenticación.

Impacto potencial

El impacto potencial incluye el acceso no autorizado a bases de datos y la posibilidad de manipulación de datos críticos. Esto puede resultar en pérdidas económicas y daños a la reputación del negocio, afectando la confianza de los usuarios en la plataforma.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes específicamente diseñadas que contienen código SQL malicioso a través de formularios o URL del plugin, sin necesidad de autenticarse.

Mitigación recomendada

Actualizar el plugin Amelia Booking a la versión 2.4.3 o superior. Revisar y aplicar medidas de seguridad adicionales en la base de datos. Implementar un firewall de aplicaciones web (WAF) para filtrar tráfico malicioso. Monitorear logs de acceso para detectar patrones inusuales de solicitud.

Señales de detección

Señales de riesgo incluyen intentos de acceso a parámetros SQL en los logs de acceso, así como registros de errores relacionados con consultas SQL fallidas o inusuales.

Alcance afectado

Las versiones del plugin Amelia Booking hasta la 2.4.2 están afectadas. No se han confirmado casos en versiones posteriores, pero se recomienda la actualización inmediata.