CVE-2024-13809: SQL Injection w wtyczce Hero Slider dla WordPress

Co wiadomo

Wtyczka Hero Slider dla WordPress do wersji 1.3.5 jest podatna na atak SQL Injection poprzez kilka parametrów, co umożliwia uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym wstrzyknięcie dodatkowych zapytań SQL. Luka wynika z niewystarczającego zabezpieczenia parametrów i przygotowania zapytań SQL.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą wykorzystać tę lukę do wykradania wrażliwych danych z bazy danych, co może prowadzić do naruszenia poufności informacji i potencjalnych szkód dla reputacji firmy. Właściciele stron opartych na WordPress korzystający z tej wtyczki powinni traktować tę podatność jako poważne zagrożenie dla bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Hero Slider i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa bazy danych i wdrożyć dodatkowe mechanizmy ochrony przed SQL Injection.

Źródła

• NVD
• Reference
• Reference