Analityczne wykorzystywanie plików cookies
Luka SQL Injection w wtyczce SQL Chart Builder dla WordPress (CVE-2024-11430)
Wtyczka SQL Chart Builder do WordPress ma lukę SQL Injection umożliwiającą wykradanie danych przez użytkowników Contributor i wyżej.
- CVSS
- 6.5 MEDIUM
- EPSS
- 41.68%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka SQL Chart Builder dla WordPress do wersji 2.3.6 jest podatna na atak SQL Injection poprzez parametr 'arg1' shortcode'u 'gvn_schart_2'. Luka pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.
Wpływ biznesowy
Atakujący z dostępem na poziomie Contributor mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do wrażliwych danych przechowywanych w bazie WordPress. Może to prowadzić do naruszenia poufności danych oraz potencjalnych dalszych ataków na infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SQL Chart Builder i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji shortcode 'gvn_schart_2' do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych zapytań SQL. Dodatkowo warto przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.