Luka SQL Injection w wtyczce WP Data Access do WordPress

Co wiadomo

Wtyczka WP Data Access – App, Table, Form and Chart Builder dla WordPressa jest podatna na atak SQL Injection poprzez parametr 'order[user_login][dir]' we wszystkich wersjach do 5.5.22 włącznie. Luka wynika z niewystarczającego oczyszczania danych wejściowych, co pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność umożliwia atakującym bez uwierzytelnienia manipulowanie zapytaniami SQL, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko naruszenia bezpieczeństwa danych oraz potencjalne szkody w reputacji i zgodności z regulacjami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Data Access i ich wdrożenie. W przypadku braku natychmiastowej poprawki należy ograniczyć dostęp do panelu administracyjnego WordPress, monitorować logi pod kątem podejrzanych zapytań SQL oraz stosować zasady minimalizacji uprawnień. Priorytetowo traktuj ocenę ryzyka i przygotuj plan reakcji na incydenty.

Źródła

• NVD
• Reference
• Reference