En este artículo se describe una vulnerabilidad de inyección SQL autenticada en la versión hasta 4.4.2 del plugin RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator para WordPress. Esta vulnerabilidad permite a atacantes autenticados, con acceso de contribuidor o superior, agregar consultas SQL adicionales a consultas existentes, lo que puede conducir a la extracción de información confidencial de la base de datos.
La descripción corta de esta vulnerabilidad es: Improper Neutralization of Special Elements used in an SQL Command (‘SQL Injection’). El problema radica en la falta de escape suficiente en el parámetro ‘search_key’ suministrado por el usuario y la falta de preparación suficiente en la consulta SQL existente.
Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin RSS Aggregator by Feedzy a la última versión disponible. También se recomienda limitar los privilegios de los usuarios autenticados, evitando otorgar acceso de contribuidor o superior a aquellos usuarios que no lo necesiten.