CVE-2024-11009: SQL Injection w wtyczce WordPress Internal Linking for SEO traffic & Ranking

Co wiadomo

Wtyczka Internal Linking for SEO traffic & Ranking – Auto internal links dla WordPress do wersji 1.2.1 zawiera podatność na czasową SQL Injection poprzez parametr 'post_id'. Atakujący z uprawnieniami administratora mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wyciek wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala administratorom na wykonanie nieautoryzowanych zapytań SQL, co może prowadzić do ujawnienia poufnych informacji z bazy danych. W środowiskach produkcyjnych może to skutkować naruszeniem integralności i poufności danych, a także potencjalnymi problemami z dostępnością usług WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administratora oraz monitorować logi pod kątem podejrzanych zapytań SQL. Warto również przeprowadzić audyt uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference