CVE-2024-1118: podatność SQL Injection w wtyczce Podlove Subscribe Button dla WordPress

Co wiadomo

Wtyczka Podlove Subscribe Button dla WordPress do wersji 1.3.10 włącznie zawiera podatność typu UNION-based SQL Injection w atrybucie 'button' shortcode'u podlove-subscribe-button. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Podatność umożliwia atakującym z poziomem dostępu współtwórcy lub wyższym dostęp do wrażliwych informacji z bazy danych WordPress, co może prowadzić do wycieku danych i naruszenia integralności systemu. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa swoich serwisów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Podlove Subscribe Button i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularna weryfikacja i audyt bezpieczeństwa bazy danych jest wskazana.

Źródła

• NVD
• Reference
• Reference
• Reference