Online Scheduling and Appointment Booking System – Bookly < 27.8 - Unauthenticated SQL Injection en Bookly Responsive Appointment Booking Tool (inyeccion SQL)

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Bookly para versiones anteriores a 27.8. Este fallo de alta severidad puede permitir a atacantes no autenticados ejecutar comandos SQL arbitrarios, comprometiendo la integridad de la base de datos y la seguridad operativa.

Contexto técnico

El fallo se presenta en el sistema de programación de citas de Bookly, permitiendo a un atacante ejecutar consultas SQL maliciosas sin necesidad de autenticación. La superficie de ataque se expone a través de formularios y parámetros de entrada no validados.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la pérdida de datos sensibles, alteración de registros y potencial acceso no autorizado a información crítica del negocio. Esto puede afectar la confianza del cliente y la reputación de la empresa.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas a los puntos de entrada del plugin, lo que les permite ejecutar consultas SQL dañinas.

Mitigación recomendada

Actualizar el plugin Bookly a la versión 27.8 o superior para cerrar la vulnerabilidad. Revisar y validar todos los puntos de entrada de datos en el plugin para evitar inyecciones SQL. Implementar medidas de seguridad adicionales como firewalls de aplicaciones web (WAF) para mitigar riesgos futuros.

Señales de detección

Monitorear logs de acceso en busca de patrones inusuales en solicitudes que intenten manipular parámetros SQL. También se deben revisar cambios inesperados en la base de datos.

Alcance afectado

Las versiones afectadas son todas las anteriores a 27.8 del plugin Bookly. No se han confirmado casos en versiones posteriores.