CVE-2024-13320: SQL Injection w wtyczce CURCY WooCommerce Multi Currency

Co wiadomo

Wtyczka CURCY - WooCommerce Multi Currency - Currency Switcher dla WordPressa do wersji 2.3.6 włącznie jest podatna na atak SQL Injection poprzez parametr 'wc_filter_price_meta[where]'. Luka umożliwia nieautoryzowanym atakującym wstrzyknięcie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla właścicieli sklepów internetowych korzystających z WooCommerce, ponieważ może skutkować ujawnieniem poufnych informacji z bazy danych. Atakujący mogą wykorzystać lukę do manipulacji danymi lub kradzieży informacji, co może prowadzić do utraty zaufania klientów i problemów prawnych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki CURCY i jej instalację. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zabezpieczające.

Źródła

• NVD
• Reference
• Reference