My Calendar <= 3.7.8 - Unauthenticated SQL Injection via 'mc_auth' and 'mc_host' Parameters (inyeccion SQL) - version 3.7.9

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de inyección SQL en el plugin My Calendar hasta la versión 3.7.8. Esta falla permite a un atacante no autenticado ejecutar consultas arbitrarias en la base de datos, comprometiendo la integridad del sistema.

Contexto técnico

La vulnerabilidad se encuentra en los parámetros 'mc_auth' y 'mc_host', que son utilizados por el plugin. La falta de validación adecuada de estos parámetros permite que un atacante envíe solicitudes manipuladas para ejecutar código SQL malicioso.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la exposición de datos sensibles, alteración de información en la base de datos y potencial acceso no autorizado a la administración del sitio. Esto puede resultar en pérdidas financieras y reputacionales significativas.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes HTTP manipuladas que incluyen valores maliciosos en los parámetros afectados.

Mitigación recomendada

Actualizar el plugin My Calendar a la versión 3.7.9 o superior. Revisar los registros de acceso y errores para detectar posibles intentos de explotación. Implementar medidas de seguridad adicionales como WAF y reglas de firewall específicas.

Señales de detección

Señales de riesgo incluyen patrones inusuales en los logs de acceso, especialmente solicitudes que contienen parámetros 'mc_auth' y 'mc_host' con valores inesperados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.7.9. No se han confirmado casos en versiones posteriores.