Analityczne wykorzystywanie plików cookies
CVE-2024-10400: podatność SQL Injection w wtyczce Tutor LMS dla WordPress
Wtyczka Tutor LMS do WordPress ma krytyczną podatność SQL Injection w parametrze 'rating_filter'. Zalecane szybkie aktualizacje i monitorowanie bezpieczeństwa.
- CVSS
- 7.5 HIGH
- EPSS
- 99.63%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- tutor lms
Co wiadomo
Wtyczka Tutor LMS dla WordPress do wersji 2.7.6 włącznie jest podatna na atak SQL Injection poprzez parametr 'rating_filter'. Brak odpowiedniego oczyszczenia i przygotowania zapytania SQL umożliwia nieautoryzowanym atakującym wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.
Wpływ biznesowy
Podatność ta może prowadzić do ujawnienia poufnych informacji z bazy danych, co stanowi poważne zagrożenie dla integralności i poufności danych w systemach korzystających z Tutor LMS. Atakujący nie musi być uwierzytelniony, co zwiększa ryzyko wykorzystania tej luki. Operatorzy IT powinni traktować tę lukę jako wysokiego ryzyka i priorytetowo podejść do jej zaadresowania.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Tutor LMS u dostawcy i wdrożenie najnowszej wersji zawierającej poprawkę. W międzyczasie warto ograniczyć dostęp do parametrów wejściowych, monitorować logi pod kątem podejrzanych zapytań SQL oraz ograniczyć ekspozycję serwisu w sieci. Regularna weryfikacja i audyt bezpieczeństwa bazy danych jest wskazana.