CVE-2023-5041: podatność SQL Injection w wtyczce Track The Click dla WordPress

Co wiadomo

Wtyczka Track The Click dla WordPress w wersjach przed 0.3.12 nieprawidłowo oczyszcza parametry zapytań do endpointu REST statystyk, co umożliwia użytkownikom z rolą autora lub wyższą przeprowadzenie ataków typu czasowo ślepe SQL Injection.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wykorzystać tę lukę do wykonania złośliwych zapytań SQL, co może prowadzić do wycieku danych lub uszkodzenia bazy danych. Organizacje korzystające z tej wtyczki powinny traktować tę podatność jako poważne zagrożenie dla integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Track The Click do wersji 0.3.12 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu WordPress tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych zapytań do bazy danych. Przeprowadź przegląd uprawnień użytkowników i rozważ ich ograniczenie.

Źródła

• NVD
• Reference