Mail Mint <= 1.24.2 - Authenticated (Administrator+) SQL Injection via 'contact_ids' Parameter (inyeccion SQL) - version 1.24.3

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Mail Mint hasta la versión 1.24.2, que puede ser explotada por administradores autenticados. Esta falla podría comprometer la integridad de los datos y la seguridad operativa del sitio web.

Contexto técnico

La vulnerabilidad se encuentra en el parámetro 'contact_ids', permitiendo a un atacante autenticado ejecutar consultas SQL arbitrarias. Esto representa un vector de ataque que podría ser utilizado para acceder a información sensible o modificar datos en la base de datos.

Impacto potencial

El impacto de esta vulnerabilidad podría incluir la exposición de datos sensibles y la manipulación de la base de datos, lo que afectaría la confianza del usuario y la integridad del negocio. La severidad de esta falla se clasifica como media, con un CVSS de 4.9.

Vector de explotación

La explotación se realiza mediante la manipulación del parámetro 'contact_ids' en solicitudes realizadas por un administrador autenticado, lo que permite ejecutar comandos SQL no autorizados.

Mitigación recomendada

Actualizar el plugin Mail Mint a la versión 1.24.3 o superior para cerrar la vulnerabilidad. Revisar los registros de actividad para identificar accesos no autorizados o inusuales. Implementar controles de acceso más estrictos para los usuarios administradores.

Señales de detección

Señales de posible explotación incluyen registros de consultas SQL inusuales relacionadas con el parámetro 'contact_ids' y cambios inesperados en la base de datos.

Alcance afectado

Las versiones afectadas son Mail Mint hasta la 1.24.2. No se han confirmado casos en versiones posteriores a 1.24.3.