CVE-2024-12416: SQL Injection w wtyczce Live Sales Notification for Woocommerce – Woomotiv

Co wiadomo

Wtyczka Live Sales Notification for Woocommerce – Woomotiv do WordPressa jest podatna na atak SQL Injection poprzez ciasteczko 'woomotiv_seen_products_.*' we wszystkich wersjach do 3.6.1 włącznie. Luka wynika z niewystarczającego oczyszczania parametrów użytkownika i braku odpowiedniego przygotowania zapytań SQL, co umożliwia nieautoryzowanym atakującym wykradanie danych z bazy.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa witryn korzystających z tej wtyczki, umożliwiając atakującym dostęp do wrażliwych informacji z bazy danych bez uwierzytelnienia. Może to prowadzić do wycieku danych klientów, uszkodzenia integralności danych oraz utraty zaufania użytkowników. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i priorytetowo podejść do jej zaadresowania.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić audyt bezpieczeństwa bazy danych i wzmocnić mechanizmy filtrowania danych wejściowych.

Źródła

• NVD
• Reference
• Reference