Tutor LMS <= 4.0.1 - Authenticated (Administrator+) SQL Injection via 'coupon_code' Parameter (inyeccion SQL) - version 4.0.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Tutor LMS hasta la versión 4.0.1, que permite a administradores autenticados explotar el parámetro 'coupon_code'. Esta falla, catalogada como de severidad media, puede comprometer la integridad de la base de datos y afectar la operativa del sitio.

Contexto técnico

La vulnerabilidad se manifiesta a través de una inyección SQL en el parámetro 'coupon_code', lo que permite a un atacante con privilegios de administrador ejecutar consultas maliciosas en la base de datos. La exposición se produce cuando se utilizan entradas no validadas en las consultas SQL del plugin.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la manipulación de datos y el acceso no autorizado a información sensible. Esto podría resultar en la pérdida de confianza de los usuarios y daños a la reputación del negocio.

Vector de explotación

La explotación típicamente requiere que un atacante autenticado, con rol de administrador, envíe una solicitud manipulada que incluya un código de cupón malicioso, lo que desencadena la inyección SQL.

Mitigación recomendada

Actualizar el plugin Tutor LMS a la versión 4.0.2 o superior para cerrar la vulnerabilidad. Revisar y validar todas las entradas de usuario en las consultas SQL para prevenir futuras inyecciones. Implementar medidas de seguridad adicionales, como la monitorización de logs para detectar accesos no autorizados.

Señales de detección

Señales a observar incluyen entradas inusuales en los logs de acceso, solicitudes que manipulan el parámetro 'coupon_code' y cambios inesperados en la base de datos.

Alcance afectado

Las versiones afectadas son todas las versiones de Tutor LMS hasta la 4.0.1. No se han confirmado casos en versiones posteriores a la 4.0.2.