ERP: Complete HR, Accounting & CRM Suite with WooCommerce CRM Support <= 1.17.4 - Authenticated (Custom+) SQL Injection via 'erpadvancefilter' Parameter (inyeccion SQL) - version 1.17.5

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL (SQLi) en la versión 1.17.4 y anteriores del plugin ERP para WooCommerce. Esta falla permite a un atacante autenticado manipular consultas SQL a través del parámetro 'erpadvancefilter', lo que puede comprometer la integridad de los datos.

Contexto técnico

La vulnerabilidad se presenta en el plugin ERP, que integra funcionalidades de gestión empresarial con WooCommerce. El fallo se activa mediante el uso del parámetro 'erpadvancefilter', permitiendo la ejecución de consultas SQL maliciosas si un usuario autenticado realiza una solicitud específica.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a información sensible almacenada en la base de datos. Esto puede resultar en la pérdida de datos, alteración de registros y potenciales daños a la reputación de la empresa.

Vector de explotación

La explotación se lleva a cabo mediante solicitudes HTTP que incluyen un payload malicioso en el parámetro 'erpadvancefilter', lo que permite la ejecución de comandos SQL no autorizados.

Mitigación recomendada

Actualizar el plugin ERP a la versión 1.17.5 o superior para corregir la vulnerabilidad. Revisar y auditar los registros de acceso para identificar actividades sospechosas. Implementar medidas de seguridad adicionales, como la limitación de permisos de usuario y el uso de firewalls de aplicaciones web.

Señales de detección

Señales de alerta incluyen intentos de acceso no autorizado en los logs, solicitudes inusuales al parámetro 'erpadvancefilter' y cambios inesperados en la base de datos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.17.5 del plugin ERP para WooCommerce. No se han confirmado casos en versiones posteriores.