Hoy, se descubrió una importante falla de seguridad en la base de código de AffiliateWP que podría ser explotada por una persona con intenciones maliciosas.
La falla se debió a varias consultas de base de datos para datos de afiliados, referidos, visitas y creatividades que estaban sujetas a una posible inyección SQL.
Con la versión 1.5.7, la falla ha sido corregida.
¿Qué importancia tiene actualizar a la versión 1.5.7?
Nos tomamos la seguridad muy en serio y siempre animamos a los usuarios a actualizar a las últimas versiones lo antes posible. En este caso particular, le recomendamos que actualice de inmediato para asegurarse de que la falla se elimine.
¿Cómo podría explotarse la falla?
Por razones de seguridad, no podemos proporcionar los detalles exactos de cómo podría explotarse la falla, pero podemos ofrecer una descripción general básica para darle una idea de cuál era el problema.
Debido a que un par de parámetros no se sanitizaron correctamente en nuestras consultas de base de datos solo para administradores, era potencialmente posible que alguien manipulara las consultas y realizara un ataque de inyección SQL.
Nota: solo era posible que esta inyección SQL ocurriera cuando el usuario actualmente conectado tuviera las capacidades necesarias para ver y editar datos de afiliados. Los usuarios desconectados y los usuarios de bajo nivel no se ven afectados. Esto significa que un atacante tendría que engañar a un administrador del sitio para que hiciera clic en un enlace malicioso para que la falla fuera explotada.
El problema se solucionó a las pocas horas de ser descubierto y la actualización se puso a disposición inmediatamente después. Para garantizar que su sitio sea 100% seguro, actualice a la versión 1.5.7.
Si tiene alguna pregunta o inquietud sobre esta actualización o la seguridad de su sitio, no dude en contactarnos.
1 comentario