Analityczne wykorzystywanie plików cookies
Luka SQL Injection w wtyczce Eventer dla WordPress (CVE-2024-11135)
Wtyczka Eventer do WordPress ma lukę SQL Injection (CVE-2024-11135) umożliwiającą wykradanie danych. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 7.5 HIGH
- EPSS
- 36.44%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- eventer
Co wiadomo
Wtyczka Eventer dla WordPress do wersji 3.9.8 zawiera lukę SQL Injection w funkcji eventer_get_attendees, umożliwiającą nieautoryzowanym atakującym wstrzyknięcie dodatkowych zapytań SQL przez parametr 'event'. Luka wynika z niewystarczającego oczyszczania i przygotowania zapytań SQL.
Wpływ biznesowy
Atakujący mogą wykorzystać tę lukę do wykradzenia wrażliwych danych z bazy danych witryny WordPress, co może prowadzić do naruszenia poufności informacji oraz potencjalnych dalszych ataków na infrastrukturę. Właściciele stron korzystających z tej wtyczki powinni potraktować tę lukę jako poważne zagrożenie dla bezpieczeństwa swoich systemów.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Eventer u dostawcy i jej wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji wykorzystujących parametr 'event', monitorować logi pod kątem podejrzanych zapytań SQL oraz ograniczyć ekspozycję serwisu na zewnętrzne ataki. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zabezpieczające.