Plataforma
wordpress
Componente
email-subscribers
Corregido en
5.7.26
Se ha descubierto una vulnerabilidad de inyección SQL de tiempo en el plugin Email Subscribers by Icegram Express para WordPress. Esta falla permite a atacantes no autenticados inyectar consultas SQL adicionales en las consultas existentes, comprometiendo la seguridad de la base de datos. La vulnerabilidad afecta a versiones del plugin 5.7.25 y anteriores. Se recomienda actualizar a la última versión disponible o implementar medidas de mitigación temporales.
La inyección SQL permite a un atacante ejecutar código SQL arbitrario en la base de datos del sitio WordPress. Esto puede resultar en la extracción de información confidencial, como credenciales de usuario, datos de clientes, información de contacto y otros datos sensibles almacenados en la base de datos. Un atacante podría incluso modificar o eliminar datos, comprometiendo la integridad del sitio web. La falta de autenticación necesaria para explotar la vulnerabilidad amplía significativamente el riesgo, permitiendo a cualquier persona con acceso al sitio web explotarla. Esta vulnerabilidad es similar en impacto a otras vulnerabilidades de inyección SQL que han afectado a plugins de WordPress en el pasado, pudiendo llevar a una completa toma de control del sitio.
Esta vulnerabilidad ha sido publicada públicamente el 2 de julio de 2024. No se ha confirmado la explotación activa en la naturaleza, pero la alta puntuación CVSS (9.8) indica un riesgo significativo. Es probable que esta vulnerabilidad sea objeto de escaneos automatizados y posibles ataques en el futuro cercano. Se recomienda a los administradores de WordPress que tomen medidas inmediatas para mitigar el riesgo.
Websites utilizing the Email Subscribers by Icegram Express plugin, particularly those running vulnerable versions (≤5.7.25), are at significant risk. Shared hosting environments are especially vulnerable as they often have limited control over plugin updates and security configurations. WordPress sites that rely on the plugin for critical email marketing and newsletter functionalities are also at heightened risk.
• wordpress / composer / npm:
grep -r "db parameter in all versions up to, and including, 5.7.25" /var/www/html/wp-content/plugins/email-subscribers-by-icegram-express/• wordpress / composer / npm:
wp plugin list --status=inactive | grep email-subscribers• wordpress / composer / npm:
wp plugin update --all• generic web: Inspect WordPress access logs for unusual SQL queries related to the Email Subscribers plugin, particularly those involving the 'db' parameter.
disclosure
Estado del Exploit
EPSS
2.30% (85% percentil)
CISA SSVC
Vector CVSS
La solución principal es actualizar el plugin Email Subscribers by Icegram Express a la última versión disponible, que incluye la corrección de la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de mitigación temporales. Estas pueden incluir la restricción del acceso a la base de datos, la implementación de un firewall de aplicaciones web (WAF) con reglas para detectar y bloquear intentos de inyección SQL, y la revisión de la configuración del plugin para asegurar que se apliquen las mejores prácticas de seguridad. Es crucial monitorear los registros del servidor en busca de patrones sospechosos que puedan indicar un intento de explotación. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que el parámetro 'db' ahora está correctamente escapado.
Actualice el plugin Email Subscribers by Icegram Express a la versión más reciente. La versión 5.7.26 o superior corrige esta vulnerabilidad de inyección SQL.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-6172 is a critical SQL Injection vulnerability affecting the Email Subscribers plugin for WordPress, allowing attackers to extract sensitive data.
You are affected if you are using Email Subscribers plugin versions 5.7.25 or earlier. Check your plugin version and upgrade immediately.
Upgrade the Email Subscribers plugin to the latest version available from the WordPress plugin repository. Consider temporary WAF rules if immediate upgrade is not possible.
While no confirmed active exploitation campaigns are publicly known, the vulnerability's severity and ease of exploitation suggest it is a high-priority target.
Refer to the Icegram Express website and the WordPress plugin repository for the latest advisory and patched version.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.