CVE-2023-5645: podatność SQL injection w wtyczce WP Mail Log

Co wiadomo

Wtyczka WP Mail Log dla WordPressa w wersjach przed 1.1.3 nieprawidłowo oczyszcza i zabezpiecza parametr używany w zapytaniu SQL, co umożliwia atak SQL injection. Luka jest dostępna dla użytkowników z rolą co najmniej Contributor.

Wpływ biznesowy

Atakujący z niskimi uprawnieniami mogą wykorzystać tę podatność do wykonania nieautoryzowanych zapytań SQL, co może prowadzić do wycieku danych lub modyfikacji bazy danych. Może to zagrozić integralności i poufności danych w systemach korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki WP Mail Log do wersji 1.1.3 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości aktualizacji, ogranicz dostęp użytkowników do ról z możliwością wykorzystania luki oraz monitoruj logi pod kątem podejrzanych działań. Przeanalizuj ekspozycję systemu i priorytetyzuj działania naprawcze.

Źródła

• NVD
• Reference