CVE-2024-13595: podatność SQL Injection w wtyczce Simple Signup Form dla WordPress

Co wiadomo

Wtyczka Simple Signup Form dla WordPress do wersji 1.6.5 włącznie posiada lukę SQL Injection w atrybucie 'id' shortcode'u 'ssf'. Luka wynika z niewystarczającego oczyszczania parametrów i umożliwia atakującym z uprawnieniami co najmniej Contributor wstrzyknięcie dodatkowych zapytań SQL.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor mogą wykorzystać tę podatność do wykradzenia wrażliwych danych z bazy WordPress. Może to prowadzić do naruszenia poufności danych użytkowników oraz potencjalnych dalszych ataków na infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Simple Signup Form u jej dostawcy i wdrożenie najnowszej wersji zawierającej poprawkę. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanych zapytań SQL. W przypadku braku natychmiastowej aktualizacji, rozważ tymczasowe wyłączenie wtyczki lub zastosowanie reguł zapory aplikacyjnej (WAF) blokujących podejrzane żądania.

Źródła

• NVD
• Reference
• Reference