CVE-2024-1203: podatność SQL Injection w wtyczce Conversios dla WooCommerce

Co wiadomo

Wtyczka Conversios – Google Analytics 4 (GA4), Meta Pixel i inne przez Google Tag Manager dla WooCommerce w WordPress jest podatna na SQL Injection poprzez parametr 'valueData' w wersjach do 7.0.7 włącznie. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie danych z bazy.

Wpływ biznesowy

Podatność ta stwarza ryzyko wycieku wrażliwych informacji z bazy danych sklepu internetowego opartego na WooCommerce, co może prowadzić do naruszenia prywatności klientów i utraty zaufania. Atakujący z dostępem subskrybenta mogą eskalować zagrożenie, co wymaga szybkiej reakcji ze strony administratorów IT i właścicieli infrastruktury.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Conversios i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony baz danych. Priorytetowo traktuj przegląd i zabezpieczenie środowiska WooCommerce.

Źródła

• NVD
• Reference
• Reference
• Reference