TrueBooker – Appointment Booking and Scheduler System <= 1.2.3 - Unauthenticated SQL Injection en Truebooker Appointment Booking (inyeccion SQL) - version 1.2.4

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de inyección SQL en el plugin TrueBooker hasta la versión 1.2.3. Esta falla permite a atacantes no autenticados ejecutar consultas SQL arbitrarias, lo que puede comprometer la integridad de la base de datos y permitir acceso no autorizado a datos sensibles.

Contexto técnico

La vulnerabilidad se presenta en el componente TrueBooker, específicamente en la funcionalidad de programación de citas. La superficie de ataque se expone a través de formularios que no requieren autenticación, permitiendo que cualquier usuario malintencionado realice solicitudes maliciosas para manipular la base de datos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder y modificar datos en la base de datos del sitio web, lo que podría resultar en la pérdida de datos, alteraciones no autorizadas y potenciales filtraciones de información sensible, afectando la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas a los endpoints del plugin, aprovechando la falta de validación de entradas para ejecutar comandos SQL maliciosos.

Mitigación recomendada

Actualizar el plugin TrueBooker a la versión 1.2.4 o superior para corregir la vulnerabilidad. Revisar y limitar el acceso a los formularios del plugin, implementando autenticación donde sea posible. Realizar auditorías de seguridad regulares en la base de datos para detectar posibles intrusiones o modificaciones no autorizadas.

Señales de detección

Monitorear los logs de acceso en busca de patrones inusuales de solicitudes a los endpoints del plugin, especialmente aquellas que contienen parámetros SQL sospechosos.

Alcance afectado

Las versiones afectadas son todas las versiones de TrueBooker hasta la 1.2.3. No se han confirmado casos de explotación en versiones posteriores.