SQL Injection w wtyczce WP Travel – Ultimate Travel Booking System do WordPress

Co wiadomo

Wtyczka WP Travel – Ultimate Travel Booking System dla WordPress jest podatna na atak SQL Injection poprzez parametr 'booking_itinerary' w funkcji 'wptravel_get_booking_data' we wszystkich wersjach do 10.0.0 włącznie. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala na nieautoryzowany dostęp do danych przechowywanych w bazie WordPress, co może skutkować wyciekiem poufnych informacji i naruszeniem integralności systemu rezerwacji. Operatorzy IT powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnych poziomach dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Travel i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum oraz monitorować logi pod kątem podejrzanych zapytań SQL. Warto również przeprowadzić audyt bezpieczeństwa i rozważyć zastosowanie dodatkowych mechanizmów ochrony baz danych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference