Krytyczna luka SQL Injection w wtyczce Contest Gallery dla WordPress

Co wiadomo

Wtyczka Contest Gallery do WordPressa jest podatna na czasową SQL Injection poprzez parametr $collectedIds we wszystkich wersjach do 24.0.3 włącznie. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do danych przechowywanych w bazie WordPressa, co może prowadzić do wycieku poufnych informacji i poważnych naruszeń bezpieczeństwa. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako krytyczną i priorytetowo ją zaadresować, aby zapobiec potencjalnym atakom i utracie danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Contest Gallery u jej dostawcy i wdrożenie najnowszej wersji zawierającej poprawkę. W międzyczasie warto ograniczyć dostęp do funkcji wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Należy również przeprowadzić audyt bezpieczeństwa i ocenić ryzyko wycieku danych.

Źródła

• NVD
• Reference
• Reference
• Reference