CVE-2023-2843: podatność SQL Injection w wtyczce MultiParcels Shipping for WooCommerce

Co wiadomo

Wtyczka MultiParcels Shipping for WooCommerce w wersjach przed 1.14.15 nieprawidłowo oczyszcza i zabezpiecza parametr przed użyciem w zapytaniu SQL, co umożliwia uwierzytelnionym użytkownikom, np. subskrybentom, przeprowadzenie ataku SQL Injection.

Wpływ biznesowy

Podatność ta może prowadzić do nieautoryzowanego dostępu do bazy danych lub jej modyfikacji, co zagraża integralności i poufności danych sklepu internetowego opartego na WooCommerce. Atakujący z niskimi uprawnieniami mogą eskalować swoje możliwości, co zwiększa ryzyko poważnych naruszeń bezpieczeństwa i potencjalnych strat finansowych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki MultiParcels Shipping for WooCommerce do wersji 1.14.15 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć dostęp użytkowników do minimalnego niezbędnego poziomu, monitorować logi pod kątem podejrzanych zapytań SQL oraz przeprowadzić przegląd konfiguracji zabezpieczeń bazy danych i aplikacji.

Źródła

• NVD
• Reference