CVE-2021-24869: podatność SQL Injection w wtyczce WP Fastest Cache

Co wiadomo

Wtyczka WP Fastest Cache dla WordPressa w wersjach przed 0.9.5 nie zabezpiecza poprawnie danych wejściowych użytkownika w metodzie set_urls_with_terms, co umożliwia niskoprzywilejowanym użytkownikom, np. subskrybentom, przeprowadzenie ataku SQL Injection.

Wpływ biznesowy

Atakujący z niskimi uprawnieniami mogą wykorzystać tę lukę do wykonania nieautoryzowanych zapytań SQL, co może prowadzić do wycieku danych lub modyfikacji bazy danych. W środowiskach produkcyjnych korzystających z tej wtyczki istnieje ryzyko naruszenia integralności i poufności danych, co może skutkować poważnymi konsekwencjami biznesowymi.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WP Fastest Cache do wersji 0.9.5 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć dostęp użytkowników o niskich uprawnieniach oraz monitorować logi systemowe pod kątem podejrzanych zapytań SQL. Należy również przeprowadzić przegląd i wzmocnienie polityk bezpieczeństwa dotyczących wtyczek WordPress.

Źródła

• NVD
• Reference
• Reference