CVE-2023-5674: podatność SQL injection w wtyczce WP Mail Log

Co wiadomo

Wtyczka WP Mail Log dla WordPressa w wersjach przed 1.1.3 nieprawidłowo oczyszcza i zabezpiecza parametr używany w zapytaniu SQL, co umożliwia atak SQL injection użytkownikom z rolą Contributor lub wyższą. Luka ta ma wysoką ocenę CVSS 8.8 i może prowadzić do nieautoryzowanego dostępu do bazy danych.

Wpływ biznesowy

Atakujący z niskimi uprawnieniami mogą wykorzystać tę podatność do wykonania złośliwych zapytań SQL, co może skutkować ujawnieniem, modyfikacją lub usunięciem danych w bazie WordPressa. Może to prowadzić do poważnych naruszeń bezpieczeństwa i utraty integralności danych, wpływając negatywnie na działanie serwisu oraz zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki WP Mail Log do wersji 1.1.3 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości aktualizacji, ogranicz dostęp do wtyczki tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Przeprowadź przegląd uprawnień użytkowników i rozważ ich ograniczenie do niezbędnego minimum.

Źródła

• NVD
• Reference