CVE-2020-37218: SQL Injection en Joomla com_hdwplayer

Un atacante puede explotar esta vulnerabilidad enviando solicitudes POST cuidadosamente elaboradas al archivo search.php de la extensión comhdwplayer, inyectando código SQL malicioso a través del parámetro hdwplayersearch. Esto permite al atacante extraer información sensible almacenada en la tabla hdwplayervideos, como nombres de archivos, descripciones y metadatos asociados a los videos. En un escenario más grave, un atacante podría modificar o eliminar datos, o incluso obtener acceso a otras partes de la base de datos, dependiendo de los permisos de la cuenta de usuario de la base de datos utilizada por Joomla. La falta de autenticación necesaria para explotar la vulnerabilidad amplía significativamente el riesgo, ya que cualquier persona con acceso a la URL vulnerable puede intentar la explotación.

1. Publicada2026-05-13

La mitigación principal para CVE-2020-37218 es actualizar la extensión com_hdwplayer a una versión corregida. Si la actualización no es inmediatamente posible, se recomienda implementar reglas de filtrado en un firewall de aplicaciones web (WAF) para bloquear solicitudes POST que contengan código SQL malicioso en el parámetro hdwplayersearch. Específicamente, se deben bloquear patrones que incluyan funciones SQL como SELECT, INSERT, UPDATE, DELETE, UNION, y operadores como OR, AND, LIKE. Además, se debe revisar la configuración de la base de datos para asegurar que los permisos de usuario sean lo más restrictivos posible. Después de aplicar la actualización o las reglas WAF, verifique la integridad de la base de datos y los registros de auditoría para detectar cualquier actividad sospechosa.