CVE-2023-2229: podatność SQL Injection w wtyczce Quick Post Duplicator dla WordPress

Co wiadomo

Wtyczka Quick Post Duplicator dla WordPress w wersjach do 2.0 włącznie jest podatna na atak SQL Injection poprzez parametr 'post_id'. Atakujący z uprawnieniami współautora mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa witryn WordPress korzystających z tej wtyczki, gdyż umożliwia nieautoryzowany dostęp do danych. Może to prowadzić do wycieku informacji, naruszenia integralności danych oraz utraty zaufania użytkowników. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i odpowiednio ją adresować.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Quick Post Duplicator u jej dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wymagających uprawnień współautora, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference