Resumen ejecutivo (lo que necesita saber ahora mismo)

• El plugin contiene un vector de inyección SQL no autenticado a través del parámetro HTTP fmcfIdSelectedFnt.
• Un atacante no autenticado puede inyectar SQL en una consulta que interactúa con la base de datos de WordPress.
• Impactos potenciales: divulgación de datos, modificación de datos, compromiso de cuentas de usuario y toma de control total del sitio dependiendo de la configuración del sitio.
• En el momento de la publicación, puede que no haya un parche proporcionado por el proveedor para versiones ≤ 1.2. Se requiere mitigación inmediata.
• Si ejecutas este plugin: elimínalo o desactívalo si es posible. Si no es posible, aplica parches virtuales (regla WAF) u otras restricciones de acceso hasta que esté disponible una solución oficial.
• Trata cualquier sitio que exponga este plugin a Internet público como alta prioridad para mitigación.

¿Qué es esta vulnerabilidad? Resumen técnico

Esta es una vulnerabilidad de inyección SQL (SQLi) explotable sin autenticación. La entrada vulnerable es el parámetro HTTP llamado fmcfIdSelectedFnt, que el plugin incorpora en una declaración SQL sin suficiente saneamiento o parametrización.

Por qué esto es importante:

• La inyección SQL permite a los atacantes manipular consultas de bases de datos. Dependiendo del contexto, los atacantes pueden leer filas arbitrarias, alterar o eliminar datos, crear cuentas administrativas o realizar acciones que conduzcan a un compromiso total del sitio.
• La explotación no autenticada significa que cualquier visitante de Internet puede intentar el ataque — no se requiere inicio de sesión.
• La puntuación CVSS refleja la alta criticidad de SQLi no autenticada en aplicaciones web.

Notas técnicas (nivel alto):

• La superficie de ataque es un parámetro HTTP pasado a un punto final del plugin (GET o POST).
• El plugin no logra sanitizar o parametrizar el valor proporcionado antes de usarlo en una consulta a la base de datos.
• Una entrada maliciosa puede cambiar la lógica de la consulta SQL prevista y devolver o modificar datos sensibles.

Este aviso evita compartir cargas útiles de explotación o cadenas de consulta detalladas para reducir el riesgo de uso indebido. El enfoque está en la detección, mitigación y manejo seguro.

Cómo un atacante puede explotarlo: escenarios de ataque realistas

Comprender los patrones de ataque probables ayuda a priorizar la respuesta:

1. Robo de datos: Los atacantes pueden leer el contenido de wp_users, wp_usermeta o de otras tablas. Los hashes de contraseñas robadas pueden ser forzados por fuerza bruta fuera de línea.
2. Escalamiento de privilegios / creación de cuentas: SQL inyectado puede ser utilizado para crear un usuario administrativo en wp_users y establecer entradas meta correspondientes en wp_usermeta, lo que lleva a la toma de control del sitio.
3. Modificación del sitio / persistencia: SQLi permite la modificación de opciones, inserción de publicaciones maliciosas o cambio de configuraciones de plugins/temas para persistir el acceso.
4. Explotación masiva: Debido a que la vulnerabilidad no requiere autenticación y el plugin es distribuido, los escáneres automáticos y los bots de explotación probablemente sondearán y atacarán muchos sitios.

Trata los sitios con el plugin vulnerable como de alto riesgo y actúa de inmediato.

Detección: qué buscar en los registros y el comportamiento

Monitorea los registros en busca de estos patrones (las notas son sugerencias de detección, no firmas exactas):

• Solicitudes a los puntos finales del plugin donde fmcfIdSelectedFnt está presente, especialmente con caracteres inusuales (comillas, comentarios, palabras clave SQL).
• Respuestas repetidas 4xx/5xx a la misma URL desde la misma IP o muchas IPs de baja reputación (comportamiento de escaneo).
• 1. Solicitudes POST/GET rápidas con valores variables (intentos de sondeo). fmcfIdSelectedFnt 2. Errores de base de datos en los registros de PHP/WordPress que hacen referencia a errores de sintaxis SQL después de acceder a los puntos finales del plugin.
• 3. Usuarios administradores inesperados, nuevas publicaciones, opciones modificadas o tareas programadas que aparecen después de solicitudes sospechosas.
• 4. Huellas de registro de detección de muestra (sanitizadas):.
• Conexiones salientes inusuales desde el servidor.

5. [access-log] 192.0.2.123 - - [23/Mar/2026:10:04:12 +0000] "GET /wp-admin/admin-ajax.php?action=fmcf_action&fmcfIdSelectedFnt=... HTTP/1.1" 200 512 "-" "Mozilla/5.0"

[error-log] Advertencia de PHP:  mysqli::query(): (23000/1064): Tienes un error en tu sintaxis SQL... en /wp-content/plugins/fonts-manager-custom-fonts/includes/class-db.php en la línea 128

Set monitoring alerts for SQL error patterns (e.g. “SQL syntax”) after calls to plugin endpoints and for unexpected creation of administrative users.

Pasos de mitigación inmediatos (qué hacer en las próximas 1–2 horas)

1. Identificar sitios afectados
   • 7. Verificar la lista de plugins de administración de WordPress o escanear sistemas de archivos para confirmar que el plugin está instalado y que la versión es ≤ 1.2.
2. 8. Considerar poner el sitio fuera de línea brevemente o habilitar el modo de mantenimiento.
   • 9. Opcional pero útil para sitios de alto riesgo o alto tráfico mientras se realiza la remediación.
3. 10. Verificar si hay una actualización oficial del proveedor.
   • 11. Si hay una actualización disponible, pruébala en staging y aplícala en producción. No asumas que existe un parche sin verificación.
4. 12. Si no hay un parche disponible, desactiva o elimina el plugin.
   • 13. Desactiva a través de WP admin o elimina la carpeta del plugin a través de SFTP. Si el plugin es esencial y no se puede eliminar de inmediato, procede a aplicar restricciones de acceso o parches virtuales.
5. 14. Aplicar controles de acceso o parches virtuales.
   • 15. Bloquear o sanitizar el parámetro vulnerable, restringir el acceso a los puntos finales del plugin o limitar las solicitudes a IPs/admins de confianza.
6. 16. Rotación y revisión de credenciales.
   • 17. Si se sospecha un compromiso, restablecer las contraseñas de las cuentas de administrador de WordPress, SFTP/FTP, cuentas del panel de control de hosting y el usuario de la base de datos.
7. 18. Inspeccionar en busca de indicadores de compromiso.
   • 19. Ver la sección “Cómo verificar un compromiso” a continuación.

Mitigación WAF recomendada (parcheo virtual) — ejemplos y orientación

Si no puedes eliminar el plugin de inmediato, el parcheo virtual a través de un WAF o panel de control de hosting es la forma más rápida de bloquear el tráfico de explotación. Las siguientes son reglas conceptuales; la sintaxis exacta depende de tu WAF:

1. Bloquear contenido de parámetros sospechosos

Niega solicitudes donde fmcfIdSelectedFnt que contenga caracteres comúnmente utilizados para inyección SQL (comilla simple, comilla doble, punto y coma, tokens de comentario, palabras clave SQL) de fuentes no autenticadas.

Lógica de pseudocódigo:

SI la solicitud contiene el parámetro fmcfIdSelectedFnt

Nota: Si el plugin normalmente espera un ID entero único, solo permite dígitos y rechaza todo lo demás.

2. Restringir el acceso a los puntos finales del plugin

• Limita los puntos finales a sesiones de administrador autenticadas o a rangos de IP específicos utilizados por tus administradores.
• Bloquear solicitudes GET/POST anónimas a esos puntos finales si no están destinadas para uso público.

3. Limitación de tasa y comprobaciones de comportamiento

• Limitar el acceso a los puntos finales del plugin para ralentizar los intentos de escaneo y explotación automatizados.
• Bloquear IPs que exhiban un comportamiento de sondeo repetido.

4. Ocultar mensajes de error de la base de datos

• Evitar que se devuelvan errores SQL detallados a los clientes; devolver en su lugar una página de error genérica para evitar la filtración de información.

Estos parches virtuales reducen la exposición pero no solucionan el código subyacente. Combínalos con la eliminación o una actualización oficial cuando esté disponible.

Cómo verificar si hay compromiso — indicadores, archivos y consultas

Realiza una investigación enfocada si viste tráfico sospechoso o piensas que el sitio puede haber sido objetivo:

1. Verifica los registros de acceso y error
   • Busque solicitudes que contengan fmcfIdSelectedFnt de IPs desconocidas y mensajes de error SQL relacionados con archivos del plugin.
2. Inspeccionar wp_users and wp_usermeta
   • Busca usuarios administradores recién creados o cambios inesperados en cuentas existentes.
3. Escanear archivos modificados
   • Utilizar verificaciones de integridad de archivos, diferencias de Git o marcas de tiempo de modificación de archivos para encontrar archivos PHP recientemente cambiados en wp-content y la raíz del sitio.
4. Buscar en la base de datos
   • Inspeccionar wp_options para opciones de autoload inesperadas y revisar publicaciones en busca de iframes inyectados, JavaScript ofuscado o cargas útiles codificadas en base64.
5. Revisar tareas programadas y cron
   • Listar eventos cron activos para ganchos desconocidos o sospechosos.
6. Verificar conexiones salientes
   • Monitorear conexiones inusuales desde el servidor, lo que puede indicar exfiltración de datos o callbacks.

Si encuentras indicadores de compromiso, aísla el sitio de inmediato y sigue los procedimientos de contención y recuperación.

Lista de verificación de respuesta a incidentes (paso a paso)

1. Aislar
   • Poner el(los) sitio(s) afectado(s) en modo de mantenimiento y, si es necesario, restringir el acceso a la red.
2. Preservar evidencia
   • Hacer copias de seguridad de registros, base de datos y instantáneas del sistema de archivos para análisis forense. Evitar sobrescribir evidencia.
3. Contener
   • Deshabilitar o eliminar el plugin vulnerable y aplicar reglas de WAF para bloquear intentos de explotación.
4. Erradicar
   • Eliminar shells web, usuarios administradores no autorizados y archivos maliciosos. Restaurar archivos limpios de copias de seguridad conocidas y buenas cuando sea necesario.
5. Recuperar
   • Actualizar o reinstalar plugins/temas/núcleo, reemitir credenciales y rotar claves, y endurecer la configuración del sitio.
6. Revisar y aprender
   • Realizar un post-mortem para identificar cómo ocurrió la brecha y mejorar los controles (monitoreo, copias de seguridad, parches virtuales).

Lista de verificación de endurecimiento (antes y después de la remediación)

• Mantener el núcleo de WordPress, los temas y los plugins actualizados.
• Limitar el uso de plugins a los esenciales, plugins mantenidos activamente.
• Hacer cumplir contraseñas fuertes y autenticación multifactor (MFA) para cuentas de administrador.
• Usar el principio de menor privilegio para usuarios de base de datos — evitar usar un usuario de DB con derechos excesivos.
• Restringir el acceso a wp-admin and wp-login.php por IP donde sea práctico o agregar capas de autenticación adicionales.
• Implementar monitoreo de integridad de archivos y escaneos regulares de malware.
• Mantenga copias de seguridad fuera del sitio y pruebe los procedimientos de restauración periódicamente.
• Monitoree los registros y alertas continuamente y suscríbase a fuentes de inteligencia de vulnerabilidades confiables.

Protecciones y servicios prácticos

Para propietarios de sitios sin capacidad de seguridad interna, considere estas medidas de protección:

• Utilice un WAF de buena reputación o filtrado de solicitudes a nivel de hosting para aplicar parches virtuales rápidamente.
• Contrate a un proveedor de respuesta a incidentes o seguridad gestionada de confianza para realizar un análisis forense si se sospecha de un compromiso.
• Despliegue monitoreo continuo y escaneos automatizados que puedan detectar versiones de plugins vulnerables y actividad anómala.
• Asegúrese de que su proveedor de hosting pueda ayudar con el aislamiento a nivel de red y la recuperación de registros durante un incidente.

El parcheo virtual y los controles de acceso compran tiempo mientras obtiene una solución oficial del proveedor y realiza una remediación completa.

Indicadores de Compromiso (IoCs) — ejemplos a buscar

• Solicitudes HTTP que incluyen el nombre del parámetro fmcfIdSelectedFnt.
• Solicitudes con alta entropía o caracteres inusuales en fmcfIdSelectedFnt.
• Mensajes de error SQL en registros del servidor cerca de las rutas de archivos de plugins.
• Respuestas elevadas 4xx/5xx a los puntos finales de plugins.
• Nuevos usuarios administradores, cambios inesperados en wp_options (siteurl/home), o entradas active_plugins.
• Archivos PHP que contienen código ofuscado (por ejemplo. base64_decode + eval), o archivos .php en directorios de carga.

Cualquiera de los anteriores debe ser tratado como alta prioridad e investigado de inmediato.

Orientación de comunicación para propietarios y administradores del sitio.

Al notificar a las partes interesadas, sea claro y factual:

• Indique que el plugin tiene una vulnerabilidad de inyección SQL no autenticada de alta severidad y enumere las versiones afectadas.
• Recomendar pasos inmediatos: deshabilitar/eliminar el plugin o aplicar restricciones de acceso/parches virtuales hasta que un parche del proveedor esté disponible.
• Proporcionar cronogramas esperados y próximos pasos, incluida la investigación y la posible rotación de credenciales si se sospecha un compromiso.
• Ofrecer puntos de contacto para asistencia técnica y asegurar que los registros/copias de seguridad se conserven para revisión forense.

Preguntas frecuentes

P: ¿Debería eliminar el plugin o simplemente desactivarlo?

R: Si puedes permitirte eliminar la funcionalidad, elimina el plugin. Si la eliminación rompe la funcionalidad crítica, desactívalo temporalmente y aplica parches virtuales o restricciones de acceso hasta que haya una actualización segura disponible.

P: ¿Qué pasa si se lanza un parche oficial del proveedor después de este aviso?

R: Prueba el parche del proveedor en un entorno de pruebas antes de aplicarlo en producción. Después de actualizar, escanea el sitio en busca de signos de compromiso y verifica la integridad de archivos y bases de datos.

P: ¿Son seguras las copias de seguridad realizadas mientras el plugin estaba activo para restaurar?

R: Ten cuidado. Las copias de seguridad realizadas mientras el plugin estaba activo podrían contener modificaciones maliciosas si el sitio fue comprometido. Verifica y escanea las copias de seguridad antes de restaurar.

Lista de verificación: acciones inmediatas (resumen de una página)

• Inventariar sitios y localizar instancias del plugin (versiones ≤ 1.2).
• Si el plugin está presente: desactivar o eliminar inmediatamente, o aplicar un parche virtual WAF / restricciones de acceso.
• Aplicar reglas para bloquear solicitudes sospechosas fmcfIdSelectedFnt valores.
• Inspeccionar registros en busca de solicitudes sospechosas y errores SQL.
• Escanear en busca de nuevos usuarios administradores, archivos cambiados y tareas programadas.
• Rotar credenciales (admin, FTP/SFTP, DB) si se encuentra actividad sospechosa.
• Respaldar evidencia e iniciar respuesta a incidentes si se sospecha un compromiso.
• Monitorear avisos del proveedor para un parche oficial y aplicarlo cuando esté disponible.