CVE-2024-12032: podatność SQL Injection w wtyczce Tourfic dla WordPress

Co wiadomo

Wtyczka Tourfic – Ultimate Hotel Booking, Travel Booking & Apartment Booking dla WordPress (do wersji 2.15.3 włącznie) jest podatna na atak SQL Injection poprzez parametr 'enquiry_id' w funkcji 'tf_enquiry_reply_email_callback'. Atakujący z uprawnieniami co najmniej subskrybenta mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala na eskalację ataku przez użytkowników z niskimi uprawnieniami, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Może to skutkować naruszeniem prywatności klientów oraz utratą zaufania do usług opartych na WordPress z tą wtyczką. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Tourfic u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem podejrzanych zapytań SQL. Dodatkowo należy rozważyć ograniczenie ekspozycji bazy danych i przeprowadzić audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference