Form Maker by 10Web <= 1.15.44 - Authenticated (Subscriber+) SQL Injection via '{username}' Placeholder in Dynamic-Choice Field WHERE Clause (inyeccion SQL) - version 1.15.45

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Form Maker de 10Web, que afecta a versiones hasta la 1.15.44. Esta falla puede ser explotada por usuarios autenticados con rol de suscriptor o superior, comprometiendo la integridad de los datos operativos.

Contexto técnico

El fallo se produce en el campo de elección dinámica del plugin, donde el placeholder '{username}' es utilizado en la cláusula WHERE de las consultas SQL. Esto permite a un atacante inyectar código SQL malicioso, afectando la base de datos del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la exposición o manipulación de datos sensibles, lo que podría derivar en pérdidas financieras y daños a la reputación de la organización. La severidad se clasifica como media, con un CVSS de 5.3.

Vector de explotación

La explotación se realiza mediante la manipulación del campo de elección dinámica, donde un atacante autenticado puede enviar una carga útil SQL a través del placeholder vulnerable.

Mitigación recomendada

Actualizar el plugin Form Maker a la versión 1.15.45 o superior para corregir la vulnerabilidad. Revisar los registros de actividad para identificar accesos no autorizados o inusuales. Implementar medidas de seguridad adicionales, como la limitación de privilegios de usuario y la validación de entradas.

Señales de detección

Señales de riesgo incluyen consultas SQL inusuales en los registros, accesos repetidos desde una misma cuenta de usuario y cambios inesperados en la base de datos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.15.45. No se han confirmado casos de explotación en versiones posteriores.