Premium Packages – Sell Digital Products Securely <= 6.2.0 - Unauthenticated SQL Injection en Wpdm Premium Packages (inyeccion SQL) - version 7.0.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL no autenticada en el plugin Premium Packages para WordPress, que afecta a las versiones hasta la 6.2.0. Esta falla de alta severidad puede comprometer la seguridad operativa del sitio web, permitiendo a un atacante ejecutar consultas SQL maliciosas.

Contexto técnico

La vulnerabilidad se encuentra en el plugin Premium Packages, que permite a los usuarios vender productos digitales. La superficie de ataque se basa en la falta de validación de entrada en ciertas solicitudes, permitiendo la inyección de código SQL sin necesidad de autenticación previa.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite el acceso no autorizado a la base de datos del sitio, lo que podría resultar en la exposición de información sensible o la manipulación de datos críticos. Esto puede afectar la confianza de los usuarios y la integridad del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes especialmente diseñadas al plugin, lo que les permite ejecutar comandos SQL en la base de datos sin necesidad de estar autenticados.

Mitigación recomendada

Actualizar el plugin Premium Packages a la versión 7.0.0 o superior para eliminar la vulnerabilidad. Realizar una auditoría de seguridad en la base de datos para identificar posibles accesos no autorizados. Implementar medidas de seguridad adicionales, como firewalls de aplicación web, para mitigar futuros riesgos.

Señales de detección

Monitorear los logs de acceso en busca de patrones inusuales en las solicitudes HTTP que apunten al plugin, así como cualquier actividad sospechosa en la base de datos.

Alcance afectado

Las versiones del plugin Premium Packages hasta la 6.2.0 están afectadas. No se han confirmado otros escenarios ni versiones adicionales en riesgo.