Plugin WordPress JetSearch <= 3.5.10 - Vulnerabilidad de Inyección SQL (SQL Injection)

Un atacante que explote esta vulnerabilidad podría extraer información sensible de la base de datos de WordPress, como nombres de usuario, contraseñas, datos de clientes o cualquier otra información almacenada. La inyección SQL ciega, aunque requiere más tiempo y esfuerzo para explotar, permite la extracción de datos de forma gradual, evitando la detección en algunos casos. La falta de validación adecuada de las entradas del usuario permite la manipulación de las consultas SQL, abriendo la puerta a la exfiltración de datos y, potencialmente, a la modificación o eliminación de información crítica. Este tipo de vulnerabilidad es similar a otras inyecciones SQL que han afectado a sistemas de gestión de contenido en el pasado, demostrando la importancia de la validación de entradas y el uso de consultas preparadas.

WordPress websites utilizing Crocoblock JetSearch, particularly those with sensitive data stored in the database, are at risk. Shared hosting environments where multiple websites share the same database are especially vulnerable, as a compromise of one site could potentially expose data from others.

• wordpress / composer / npm:

grep -r "SELECT .* FROM" /var/www/html/wp-content/plugins/jet-search/

• generic web:

curl -I 'https://your-wordpress-site.com/jet-search/?q='; # Check for unusual headers or error messages

• wordpress / composer / npm:

wp plugin list --status=active | grep jet-search

• wordpress / composer / npm:

wp plugin update jet-search

1. 2025-10-22Disclosure

   disclosure

1. Reservado2025-06-11
2. Publicada2025-10-22
3. Modificada2026-04-28
4. EPSS actualizado2026-03-23

La solución principal es actualizar JetSearch a la versión 3.5.11 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización no es posible de inmediato, se recomienda implementar medidas de mitigación temporales. Estas pueden incluir la restricción del acceso a la base de datos, la implementación de un firewall de aplicaciones web (WAF) para filtrar las consultas SQL maliciosas y la revisión de las configuraciones de seguridad del servidor. Además, se recomienda monitorear los registros del servidor en busca de patrones sospechosos que puedan indicar un intento de explotación. Después de la actualización, confirme la mitigación ejecutando una prueba de penetración básica para verificar que la vulnerabilidad ha sido efectivamente resuelta.