Krytyczna luka SQL Injection w wtyczce WP Hotel Booking

Co wiadomo

Wtyczka WP Hotel Booking dla WordPressa w wersjach przed 2.0.8 zawiera krytyczną lukę bezpieczeństwa umożliwiającą nieautoryzowanym użytkownikom wykonanie ataku SQL Injection. Problem wynika z braku weryfikacji uprawnień, ochrony CSRF oraz niewłaściwego oczyszczania danych wejściowych w funkcji powiązanej z admin_init.

Wpływ biznesowy

Luka o wysokim poziomie ryzyka (CVSS 9.8) może pozwolić atakującym na wykonanie złośliwych zapytań SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych w bazie WordPressa. Zagrożenie to dotyczy właścicieli stron korzystających z tej wtyczki, zwłaszcza jeśli nie została ona zaktualizowana do najnowszej wersji.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki WP Hotel Booking i zaktualizować ją do wersji 2.0.8 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości natychmiastowej aktualizacji, zaleca się ograniczenie dostępu do panelu administracyjnego, monitorowanie logów pod kątem podejrzanej aktywności oraz przegląd uprawnień użytkowników. Warto również śledzić komunikaty producenta w celu uzyskania dalszych wskazówek.

Źródła

• NVD
• Reference