CVE-2024-13533: podatność SQL Injection w wtyczce Small Package Quotes – USPS Edition dla WordPress

Co wiadomo

Wtyczka Small Package Quotes – USPS Edition dla WordPress do wersji 1.3.5 włącznie jest podatna na atak SQL Injection przez parametr 'edit_id'. Brak odpowiedniego oczyszczenia i przygotowania zapytania SQL umożliwia nieautoryzowanym atakującym wstrzyknięcie dodatkowych zapytań, co może prowadzić do wycieku wrażliwych danych z bazy.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa danych przechowywanych w bazie WordPress, co może skutkować ujawnieniem poufnych informacji i naruszeniem integralności systemu. Operatorzy IT powinni traktować tę lukę priorytetowo, ponieważ atakujący nie muszą być uwierzytelnieni, aby ją wykorzystać. Może to prowadzić do poważnych konsekwencji biznesowych, w tym utraty zaufania klientów i potencjalnych sankcji prawnych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Small Package Quotes – USPS Edition i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp do parametrów wejściowych, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i wzmocnić mechanizmy ochrony bazy danych.

Źródła

• NVD
• Reference
• Reference
• Reference