El plugin adivaha Travel 2.3 de WordPress contiene una vulnerabilidad de inyección SQL ciega basada en tiempo que permite a atacantes no autenticados manipular consultas de base de datos inyectando código SQL a través del parámetro GET 'pid'. Los atacantes pueden enviar solicitudes al endpoint /mobile-app/v3/ con valores 'pid' elaborados utilizando cargas útiles basadas en XOR para extraer información confidencial de la base de datos o causar una denegación de servicio.

Un atacante puede explotar esta vulnerabilidad para ejecutar consultas SQL arbitrarias en la base de datos del sitio WordPress. Al manipular el parámetro 'pid' con cargas útiles basadas en XOR, el atacante puede extraer datos sensibles como nombres de usuario, contraseñas, información de clientes o cualquier otra información almacenada en la base de datos. La inyección SQL ciega basada en tiempo requiere múltiples solicitudes para determinar la respuesta, lo que puede ser lento, pero aún así permite la extracción completa de datos. Además, el atacante podría utilizar la inyección SQL para modificar o eliminar datos, o incluso para ejecutar comandos del sistema operativo subyacente, dependiendo de la configuración del servidor y los permisos de la base de datos. Esta vulnerabilidad es particularmente preocupante porque afecta a un plugin popular, lo que significa que muchos sitios web podrían ser susceptibles.

1. Reservado2026-04-09
2. Publicada2026-04-09
3. Modificada2026-04-15
4. EPSS actualizado2026-04-17

La mitigación inmediata para CVE-2023-54359 es deshabilitar o eliminar el plugin adivaha Travel hasta que se publique una versión corregida. Si la actualización no es posible de inmediato, se recomienda implementar reglas de firewall de aplicaciones web (WAF) para bloquear solicitudes que contengan inyecciones SQL en el parámetro 'pid'. Específicamente, busque patrones de inyección SQL comunes, como UNION SELECT, OR 1=1, y funciones de manipulación de cadenas. Además, se recomienda revisar y fortalecer la seguridad de la base de datos, incluyendo la aplicación de contraseñas seguras y la limitación de los permisos de acceso a la base de datos. Una vez aplicada la actualización, verifique la corrección de la vulnerabilidad intentando enviar una solicitud con una carga útil de inyección SQL al endpoint /mobile-app/v3/ y confirmando que la solicitud es bloqueada o que la consulta SQL no se ejecuta.

Última actualización

7.0recientemente