Visualizer – Tables & Charts Manager with Built-in AI Generator <= 4.0.6 - Authenticated (Contributor+) SQL Injection (inyeccion SQL)

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Visualizer, que afecta a versiones hasta la 4.0.6. Este fallo permite a usuarios autenticados con rol de contribuyente acceder a datos sensibles, comprometiendo la seguridad del sitio.

Contexto técnico

El fallo se presenta en el componente Visualizer, específicamente en su funcionalidad de gestión de tablas y gráficos. La superficie de ataque se expone a usuarios autenticados que pueden enviar consultas SQL maliciosas a través de entradas no validadas.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante acceder a información crítica de la base de datos, lo que podría resultar en la pérdida de datos, alteración de contenido o incluso la toma de control del sitio. Este riesgo se clasifica con una severidad media (CVSS 6.5).

Vector de explotación

Generalmente, la explotación se realiza mediante el envío de solicitudes manipuladas a las funciones del plugin que procesan entradas SQL, lo que permite ejecutar comandos no autorizados.

Mitigación recomendada

Actualizar el plugin Visualizer a la versión 4.0.6 o superior para aplicar el parche de seguridad. Revisar y restringir los permisos de usuario, limitando el acceso a funciones críticas solo a usuarios de confianza. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para filtrar solicitudes maliciosas.

Señales de detección

Monitorear los registros de acceso y errores en busca de patrones inusuales relacionados con consultas SQL, así como cambios no autorizados en la base de datos.

Alcance afectado

Las versiones del plugin Visualizer hasta la 4.0.6 son vulnerables. No se han confirmado casos de explotación en versiones posteriores.