CVE-2023-5466: podatność SQL Injection w wtyczce WP Anything Slider

Co wiadomo

Wtyczka WP Anything Slider dla WordPressa w wersjach do 9.1 włącznie jest podatna na atak SQL Injection poprzez shortcode wtyczki. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami subskrybenta i wyższymi wstrzyknięcie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa stron opartych na WordPress z zainstalowaną wtyczką WP Anything Slider. Atakujący mogą wykorzystać lukę do uzyskania nieautoryzowanego dostępu do danych, co może skutkować naruszeniem poufności informacji i potencjalnymi stratami finansowymi lub reputacyjnymi. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i priorytetowo ją adresować.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Anything Slider u dostawcy oraz jej instalację. W przypadku braku łatki warto ograniczyć dostęp do funkcji shortcode, monitorować logi pod kątem podejrzanych zapytań SQL oraz ograniczyć uprawnienia użytkowników do niezbędnego minimum. Regularne przeglądy bezpieczeństwa i szybka reakcja na incydenty są kluczowe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference