CVE-2024-13532: podatność SQL Injection w wtyczce Small Package Quotes – Purolator Edition dla WordPress

Co wiadomo

Wtyczka Small Package Quotes – Purolator Edition dla WordPress do wersji 3.6.4 włącznie jest podatna na SQL Injection poprzez parametry 'edit_id' i 'dropship_edit_id'. Brak odpowiedniego oczyszczenia i przygotowania zapytań SQL umożliwia nieautoryzowanym atakującym wstrzyknięcie dodatkowych zapytań i wykradanie danych z bazy.

Wpływ biznesowy

Podatność ta może prowadzić do wycieku wrażliwych danych z bazy WordPress, co stanowi poważne zagrożenie dla integralności i poufności informacji. Atakujący nie muszą być uwierzytelnieni, co zwiększa ryzyko wykorzystania luki. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako wysokiego ryzyka i podjąć działania minimalizujące potencjalne szkody.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Small Package Quotes – Purolator Edition u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć dostęp do parametrów 'edit_id' i 'dropship_edit_id', monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy ocenić ekspozycję serwisu i wdrożyć odpowiednie zabezpieczenia bazy danych.

Źródła

• NVD
• Reference
• Reference