LayerSlider SQL injection cleanup.

What the bug was

Entrada de usuario → SQL, sin autenticación.

Una acción AJAX en LayerSlider aceptaba entrada controlada por el usuario que se concatenaba dentro de una consulta SQL. Sin necesidad de autenticación. Afectadas: 7.9.11–7.10.0. Parche: 7.10.1, publicado el 27 de marzo de 2024.

Una SQLi aquí es peligrosa no por la modificación de la base de datos sino por la extracción — los hashes de contraseñas de admin son crackeables offline (sobre todo con cost factors de bcrypt antiguos), y los valores AUTH_KEY de WordPress almacenados en wp_options permiten a un atacante forjar cookies y saltarse el formulario de login por completo.

Indicators

Qué hacemos con ello

• ACCESS LOG

  POSTs a admin-ajax.php con action=ls_get_popup_markup u otras acciones de LayerSlider, conteniendo patrones clásicos de SQLi (UNION SELECT, payloads codificados en hex).

• SESIONES

  Logins de admin desde IPs desconocidas que no tienen un POST coincidente a wp-login.php en la misma ventana — sugiere cookies forjadas a partir de AUTH_KEYs filtradas.

• USUARIOS

  Nuevos admins creados desde marzo de 2024. Cambios de contraseña en admins existentes que tú no hiciste.

• ROTACIÓN DE SECRETS

  Si se exfiltraron claves, rotar AUTH_KEY/SECURE_AUTH_KEY/LOGGED_IN_KEY/NONCE_KEY en wp-config.php es obligatorio antes de que cualquier limpieza sea duradera. Lo hacemos por defecto.

Precios