CVE-2024-1795: podatność SQL Injection w wtyczce Husky - Products Filter Professional dla WooCommerce

Co wiadomo

Wtyczka HUSKY – Products Filter for WooCommerce Professional do WordPressa jest podatna na atak SQL Injection poprzez parametr 'name' w shortcode woof we wszystkich wersjach do 1.3.5.2 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność ta może prowadzić do nieautoryzowanego dostępu do danych przechowywanych w bazie WordPressa, co stanowi poważne zagrożenie dla bezpieczeństwa i prywatności. Właściciele sklepów WooCommerce korzystający z tej wtyczki powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i weryfikację dostępu do bazy danych.

Źródła

• NVD
• Reference
• Reference