WordPress Booking Calendar Contact Form 1.0.23 - Nieautoryzowana ślepa SQL Injection

Co wiadomo

Wtyczka WordPress Booking Calendar Contact Form w wersji 1.0.23 zawiera lukę typu ślepa SQL Injection, umożliwiającą zdalnym atakującym wykonanie dowolnych zapytań SQL poprzez parametr 'id'. Atak odbywa się przez endpoint admin-ajax.php z parametrem action ustawionym na 'dex_bccf_calendar_ajaxevent'.

Wpływ biznesowy

Luka ta pozwala na wykradanie poufnych danych z bazy danych witryny, co może prowadzić do naruszenia prywatności użytkowników oraz kompromitacji całego systemu. Wysoki poziom zagrożenia (CVSS 8.8) oznacza, że atakujący mogą zdalnie i bez uwierzytelnienia uzyskać dostęp do wrażliwych informacji, co może skutkować poważnymi konsekwencjami dla bezpieczeństwa i reputacji firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp do endpointu admin-ajax.php, monitorować logi serwera pod kątem podejrzanych zapytań oraz przeprowadzić audyt bezpieczeństwa bazy danych. Priorytetowo należy ocenić ryzyko i wdrożyć środki minimalizujące ekspozycję na atak.

Źródła

• NVD
• Reference
• Reference
• Reference