CVE-2024-0399: podatność SQL injection w wtyczce WooCommerce Customers Manager

Co wiadomo

Wtyczka WooCommerce Customers Manager dla WordPressa w wersjach przed 29.7 nieprawidłowo oczyszcza i zabezpiecza parametr używany w zapytaniu SQL, co umożliwia atak SQL injection użytkownikom z rolą Subscriber+.

Wpływ biznesowy

Podatność ta może pozwolić atakującym z niskimi uprawnieniami na wykonanie nieautoryzowanych zapytań SQL, co może prowadzić do wycieku lub modyfikacji danych w bazie. W środowiskach e-commerce i CMS może to skutkować poważnymi naruszeniami bezpieczeństwa i utratą zaufania klientów.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WooCommerce Customers Manager do wersji 29.7 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć dostęp użytkowników z rolą Subscriber+ oraz monitorować logi pod kątem podejrzanej aktywności SQL. Przegląd i wzmocnienie polityk bezpieczeństwa bazy danych również jest wskazane.

Źródła

• NVD
• Reference