CVE-2024-11732: SQL Injection w wtyczce BP Profile Shortcodes Extra dla WordPress

Co wiadomo

Wtyczka BP Profile Shortcodes Extra dla WordPress do wersji 2.6.0 jest podatna na czasową iniekcję SQL poprzez parametr 'tab'. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala na eskalację ataku przez użytkowników z uprawnieniami współtwórcy i wyższymi, co może prowadzić do ujawnienia poufnych informacji z bazy danych WordPress. Może to skutkować naruszeniem prywatności danych oraz utratą zaufania użytkowników i klientów. Operatorzy powinni traktować tę lukę priorytetowo, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki BP Profile Shortcodes Extra do wersji po 2.6.0, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp użytkowników do poziomu niższego niż Współtwórca oraz monitoruj logi pod kątem podejrzanych zapytań SQL. Przeglądaj i stosuj najlepsze praktyki zabezpieczeń WordPress oraz regularnie audytuj uprawnienia użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference