ERP: Complete HR, Accounting & CRM Suite with Recruitment and WooCommerce CRM Support <= 1.17.5 - Authenticated (HR Manager+) SQL Injection via 'orderby' Parameter (inyeccion SQL) - version 1.17.6

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin ERP, que afecta a las versiones hasta la 1.17.5. Esta falla permite a usuarios autenticados ejecutar consultas maliciosas, comprometiendo la integridad de los datos y la seguridad operativa.

Contexto técnico

La vulnerabilidad se encuentra en el parámetro 'orderby' del plugin ERP, utilizado en la gestión de recursos humanos y contabilidad. Un atacante con privilegios de HR Manager+ puede manipular este parámetro para ejecutar código SQL arbitrario en la base de datos.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la exposición o manipulación de datos sensibles, afectando la confidencialidad y la integridad de la información. Esto puede tener repercusiones legales y financieras para la organización.

Vector de explotación

La explotación se realiza mediante la modificación del parámetro 'orderby' en solicitudes HTTP, lo que permite ejecutar instrucciones SQL no autorizadas en el backend del sistema.

Mitigación recomendada

Actualizar el plugin ERP a la versión 1.17.6 o superior para cerrar la vulnerabilidad. Revisar y auditar los registros de acceso para detectar actividades sospechosas relacionadas con la explotación de esta vulnerabilidad. Implementar medidas de seguridad adicionales, como la limitación de privilegios de usuario y la validación de entradas.

Señales de detección

Señales de riesgo incluyen entradas inusuales en los logs de acceso, intentos de manipulación del parámetro 'orderby' y cambios no autorizados en la base de datos.

Alcance afectado

Las versiones del plugin ERP hasta la 1.17.5 están afectadas. No se han confirmado otros escenarios de explotación en versiones posteriores.