La vulnerabilidad de Inyección SQL en el plugin Booking Calendar WpDevArt permite a atacantes autenticados (con acceso de nivel colaborador o superior) insertar consultas SQL adicionales en la base de datos, lo que podría resultar en la extracción de información sensible como contraseñas.
El plugin Booking Calendar WpDevArt es vulnerable a una inyección SQL ciega basada en el tiempo a través del parámetro `id` en el shortcode “wpdevart_booking_calendar” en versiones hasta, e incluyendo, la 3.2.19 debido a una escape insuficiente en el parámetro suministrado por el usuario y la falta de preparación suficiente en la consulta SQL existente. La vulnerabilidad requiere que la opción del tema “delete_prev_date” esté habilitada. Esto permite a los atacantes autenticados, con acceso de colaborador o superior, agregar consultas SQL adicionales a la consulta existente que se puede utilizar para extraer información sensible como contraseñas de la base de datos.
Se recomienda a los usuarios deshabilitar temporalmente el plugin Booking Calendar WpDevArt hasta que se publique una actualización que aborde esta vulnerabilidad. Además, se debe contar con medidas de seguridad adicionales en el sitio web, como la monitorización de los registros del servidor en busca de actividad sospechosa y la implementación de políticas de contraseña robustas para mitigar posibles ataques de inyección SQL.