CVE-2024-10540: podatność SQL Injection w wtyczce BookingPress dla WordPress

Co wiadomo

Wtyczka Appointment Booking Calendar i Scheduling Plugin – BookingPress dla WordPress jest podatna na atak SQL Injection poprzez parametr 'service' w shortcode bookingpress_form we wszystkich wersjach do 1.1.16 włącznie. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność ta może prowadzić do nieautoryzowanego dostępu do danych przechowywanych w bazie WordPress, co stanowi ryzyko wycieku informacji i naruszenia integralności systemu. Operatorzy IT powinni traktować tę lukę poważnie, zwłaszcza w środowiskach, gdzie użytkownicy mają uprawnienia subskrybenta lub wyższe. Niewykorzystanie aktualizacji może skutkować kompromitacją danych i utratą zaufania klientów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki BookingPress u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz wyższego, monitorować logi pod kątem podejrzanych zapytań SQL i ograniczyć ekspozycję serwisu. Priorytetem jest szybka weryfikacja i wdrożenie poprawek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference