Booking Package <= 1.7.20 - Unauthenticated SQL Injection via 'email' Form Parameter (inyeccion SQL) - version 1.7.21

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL no autenticada en el plugin Booking Package, afectando a versiones anteriores a la 1.7.21. Esta falla, catalogada con una severidad alta (CVSS 7.5), puede comprometer la integridad de la base de datos del sitio web.

Contexto técnico

El fallo se encuentra en el parámetro 'email' del formulario del plugin Booking Package, permitiendo a un atacante realizar consultas SQL maliciosas sin necesidad de autenticación previa. Esto expone la base de datos a manipulaciones no autorizadas.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la divulgación de información sensible, alteración de datos y potencial acceso a funcionalidades administrativas. Esto puede resultar en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen enviar solicitudes HTTP manipuladas al formulario de reservas, inyectando código SQL a través del parámetro 'email' para ejecutar comandos en la base de datos.

Mitigación recomendada

Actualizar el plugin Booking Package a la versión 1.7.21 o superior para corregir la vulnerabilidad. Revisar y sanitizar los datos de entrada en formularios para prevenir inyecciones SQL en el futuro. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web, para detectar y bloquear intentos de explotación.

Señales de detección

Monitorizar los logs de acceso en busca de patrones inusuales en las solicitudes al formulario de reservas, especialmente aquellas que incluyan caracteres especiales o comandos SQL.

Alcance afectado

Las versiones del plugin Booking Package hasta la 1.7.20 están afectadas. No se han reportado casos de explotación en versiones posteriores a la 1.7.21.