CVE-2024-13475: podatność SQL Injection w wtyczce Small Package Quotes – UPS Edition dla WordPress

Co wiadomo

Wtyczka Small Package Quotes – UPS Edition dla WordPress do wersji 4.5.16 włącznie jest podatna na atak SQL Injection poprzez parametr 'edit_id'. Brak odpowiedniego zabezpieczenia i przygotowania zapytania SQL umożliwia nieautoryzowanym atakującym wstrzyknięcie dodatkowych zapytań i wykradanie danych z bazy.

Wpływ biznesowy

Podatność o wysokim poziomie ryzyka (CVSS 7.5) może prowadzić do ujawnienia wrażliwych informacji z bazy danych WordPress, co zagraża integralności i poufności danych firmowych. Atakujący nie musi być uwierzytelniony, co zwiększa ryzyko wykorzystania tej luki w środowiskach produkcyjnych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Small Package Quotes – UPS Edition i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do parametrów wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz priorytetyzować działania naprawcze w celu minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference