CVE-2023-5203: Krytyczna luka SQL Injection w wtyczce WP Sessions Time Monitoring Full Automatic

Co wiadomo

Wtyczka WordPress WP Sessions Time Monitoring Full Automatic w wersjach przed 1.0.9 nie sanitizuje parametrów URL przed użyciem ich w zapytaniach SQL. Pozwala to nieautoryzowanym atakującym na wykradanie danych z bazy za pomocą technik ślepego SQL Injection opartych na czasie lub, w niektórych przypadkach, na błędach lub zapytaniach typu UNION.

Wpływ biznesowy

Luka umożliwia atakującym bez uwierzytelnienia dostęp do wrażliwych danych przechowywanych w bazie WordPress, co może prowadzić do naruszenia prywatności użytkowników i kompromitacji całej witryny. Operatorzy CMS powinni potraktować tę lukę jako wysokiego ryzyka, zwłaszcza w środowiskach z dużym ruchem lub cennymi danymi.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki i jej instalację w wersji 1.0.9 lub nowszej. W przypadku braku możliwości aktualizacji należy ograniczyć dostęp do panelu administracyjnego i monitorować logi pod kątem podejrzanych zapytań SQL. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i wprowadzić mechanizmy zapobiegania SQL Injection.

Źródła

• NVD
• Reference