CVE-2024-13534: podatność SQL Injection w wtyczce Small Package Quotes dla WordPress

Co wiadomo

Wtyczka Small Package Quotes – Worldwide Express Edition dla WordPress do wersji 5.2.18 włącznie jest podatna na atak SQL Injection poprzez parametry 'edit_id' i 'dropship_edit_id'. Brak odpowiedniego zabezpieczenia tych parametrów umożliwia nieautoryzowanym atakującym wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa stron opartych na WordPress z zainstalowaną wtyczką Small Package Quotes, gdyż umożliwia atakującym dostęp do wrażliwych informacji z bazy danych bez uwierzytelnienia. Może to prowadzić do wycieku danych klientów, zakłócenia działania serwisu oraz utraty zaufania użytkowników.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Small Package Quotes i zaktualizować ją do najnowszej dostępnej wersji, w której podatność została załatana. W przypadku braku dostępnej aktualizacji zaleca się ograniczenie dostępu do parametrów 'edit_id' i 'dropship_edit_id', monitorowanie logów pod kątem podejrzanych zapytań SQL oraz przegląd konfiguracji zabezpieczeń bazy danych. Priorytetem jest szybkie wdrożenie poprawek i ograniczenie ekspozycji serwisu na ataki.

Źródła

• NVD
• Reference
• Reference