CVE-2024-12410: podatność SQL Injection w wtyczce Front End Users dla WordPress

Co wiadomo

Wtyczka Front End Users dla WordPress do wersji 3.2.32 włącznie jest podatna na atak SQL Injection poprzez parametr 'UserSearchField'. Brak odpowiedniego zabezpieczenia tego parametru umożliwia nieautoryzowanym atakującym wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Podatność może prowadzić do wycieku wrażliwych informacji z bazy danych WordPress, co stanowi zagrożenie dla integralności i poufności danych. Atakujący nie musi być uwierzytelniony, co zwiększa ryzyko wykorzystania tej luki w środowiskach produkcyjnych. Operatorzy powinni ocenić potencjalny wpływ na swoje systemy i priorytetyzować działania naprawcze.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Front End Users i ich instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji korzystających z parametru 'UserSearchField', monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony baz danych. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference
• Reference