Analityczne wykorzystywanie plików cookies
CVE-2024-0786: podatność SQL Injection w wtyczce Conversios.io dla WooCommerce
Wtyczka Conversios.io dla WooCommerce ma podatność SQL Injection umożliwiającą wyciek danych. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 8.8 HIGH
- EPSS
- 49.44%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- conversios.io
Co wiadomo
Wtyczka Conversios – Google Analytics 4 (GA4), Meta Pixel i inne przez Google Tag Manager dla WooCommerce jest podatna na czasową SQL Injection w funkcji ee_syncProductCategory. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.
Wpływ biznesowy
Podatność o wysokim poziomie zagrożenia (CVSS 8.8) pozwala na eskalację ataku poprzez wstrzykiwanie zapytań SQL, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Operatorzy IT i właściciele infrastruktury powinni traktować tę lukę priorytetowo, zwłaszcza w środowiskach z wieloma użytkownikami posiadającymi dostęp subskrybenta lub wyższy.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do minimum niezbędnego oraz monitorować logi pod kątem podejrzanych zapytań SQL. Należy również przeprowadzić przegląd konfiguracji i rozważyć dodatkowe zabezpieczenia bazy danych.