CVE-2024-2018: podatność SQL Injection w wtyczce WP Activity Log

Co wiadomo

Wtyczka WP Activity Log Premium dla WordPressa do wersji 4.6.4 włącznie jest podatna na atak SQL Injection poprzez parametr entry->roles. Atakujący z uprawnieniami subskrybenta mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa witryn WordPress korzystających z tej wtyczki, gdyż umożliwia uwierzytelnionym użytkownikom o niskich uprawnieniach eskalację dostępu do danych. Może to prowadzić do wycieku poufnych informacji oraz potencjalnego naruszenia integralności systemu. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i priorytetowo ją adresować.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Activity Log u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć czasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i weryfikację uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference