CVE-2024-13184: SQL Injection w wtyczce The Ultimate WordPress Toolkit – WP Extended

Co wiadomo

Wtyczka The Ultimate WordPress Toolkit – WP Extended do WordPressa jest podatna na czasową SQL Injection w module Login Attempts we wszystkich wersjach do 3.0.12 włącznie. Luka wynika z niewystarczającego zabezpieczenia parametrów użytkownika, co umożliwia nieautoryzowanym atakującym dołączanie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Podatność umożliwia atakującym bez uwierzytelnienia manipulowanie zapytaniami SQL, co może prowadzić do wycieku poufnych informacji z bazy danych. Może to skutkować naruszeniem prywatności użytkowników oraz utratą integralności danych, co negatywnie wpływa na reputację i bezpieczeństwo infrastruktury IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do modułu Login Attempts, monitorować logi pod kątem podejrzanych zapytań SQL oraz przeprowadzić audyt bezpieczeństwa bazy danych. Priorytetowo traktuj aktualizacje i stosuj zasady minimalizacji ekspozycji systemów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference