CVE-2024-1751: podatność SQL Injection w Tutor LMS

Co wiadomo

Wtyczka Tutor LMS dla WordPress do nauki online jest podatna na czasową SQL Injection poprzez parametr question_id we wszystkich wersjach do 2.6.1 włącznie. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa danych w systemach wykorzystujących Tutor LMS, gdyż umożliwia nieautoryzowany dostęp do informacji przechowywanych w bazie danych. Może to prowadzić do wycieku danych użytkowników oraz innych poufnych informacji, co negatywnie wpływa na reputację i zgodność z regulacjami.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Tutor LMS u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do systemu do niezbędnych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt bezpieczeństwa bazy danych. Priorytetowo traktuj aktualizacje i weryfikację konfiguracji zabezpieczeń.

Źródła

• NVD
• Reference
• Reference
• Reference