CVE-2024-11912: Blind SQL Injection w motywie Travel Booking WordPress

Co wiadomo

Motyw Travel Booking dla WordPress do wersji 3.1.6 jest podatny na ślepą, opartą na czasie, SQL Injection poprzez parametr 'order_id'. Luka wynika z niewystarczającego oczyszczania danych wejściowych, co pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Podatność umożliwia atakującym bez uwierzytelnienia dostęp do wrażliwych informacji przechowywanych w bazie danych serwisu opartego na WordPress z tym motywem. Może to prowadzić do naruszenia poufności danych klientów oraz destabilizacji działania strony, co negatywnie wpływa na reputację i zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji motywu Travel Booking i ich wdrożenie. W przypadku braku łatki, ogranicz ekspozycję parametrów wejściowych, monitoruj logi pod kątem podejrzanych zapytań SQL oraz rozważ zastosowanie mechanizmów zapobiegających SQL Injection. Priorytetowo traktuj audyt i zabezpieczenie systemu.

Źródła

• NVD
• Reference
• Reference