CVE-2024-13846: podatność SQL Injection w wtyczce Ultimate Learning Pro dla WordPress

Co wiadomo

Wtyczka Indeed Ultimate Learning Pro dla WordPress do wersji 3.9 włącznie jest podatna na czasową SQL Injection poprzez parametr 'post_id'. Atakujący z uprawnieniami administratora mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wyciek wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala administratorom na nieautoryzowane rozszerzenie zapytań SQL, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Może to wpłynąć na integralność i poufność danych w systemach korzystających z tej wtyczki, zwiększając ryzyko naruszeń bezpieczeństwa i potencjalnych strat biznesowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ultimate Learning Pro u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego do zaufanych użytkowników, monitorować logi pod kątem podejrzanych zapytań SQL oraz przeprowadzić przegląd uprawnień użytkowników w systemie WordPress.

Źródła

• NVD
• Reference
• Reference