CVE-2024-11722: podatność SQL Injection w wtyczce Frontend Admin dla WordPress

Co wiadomo

Wtyczka Frontend Admin firmy DynamiApps dla WordPress do wersji 3.25.1 jest podatna na atak SQL Injection poprzez parametr 'orderby'. Luka wynika z niewystarczającego zabezpieczenia i pozwala nieautoryzowanym użytkownikom z uprawnieniami do przeglądania zgłoszeń formularzy na wyciągnięcie wrażliwych danych z bazy.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do danych przechowywanych w bazie WordPress, co może prowadzić do wycieku poufnych informacji. Zagrożenie dotyczy środowisk, gdzie użytkownicy bez pełnej autoryzacji mają dostęp do formularzy i ich zgłoszeń. Może to wpłynąć na integralność i poufność danych oraz narazić organizację na ryzyko naruszenia przepisów o ochronie danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Frontend Admin u dostawcy DynamiApps i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji przeglądania zgłoszeń formularzy tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych zapytań SQL. Przeprowadź przegląd uprawnień użytkowników i rozważ tymczasowe usunięcie shortcode formularza z publicznie dostępnych stron.

Źródła

• NVD
• Reference
• Reference
• Reference