CVE-2024-2341: podatność SQL Injection w wtyczce Simply Schedule Appointments dla WordPress

Co wiadomo

Wtyczka Appointment Booking Calendar – Simply Schedule Appointments dla WordPress do wersji 1.6.7.7 włącznie jest podatna na atak SQL Injection poprzez parametr keys. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami subskrybenta i wyższymi wstrzyknięcie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wpływ biznesowy

Podatność o wysokim poziomie ryzyka (CVSS 8.8) pozwala na nieautoryzowany dostęp do danych w bazie WordPress, co może skutkować naruszeniem poufności informacji i potencjalnym uszkodzeniem integralności systemu. Operatorzy stron korzystających z tej wtyczki powinni traktować zagrożenie priorytetowo, zwłaszcza w środowiskach z wieloma użytkownikami o różnych poziomach dostępu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W przypadku braku łatki, ograniczenie dostępu użytkowników do minimum niezbędnego poziomu uprawnień, monitorowanie logów pod kątem podejrzanych zapytań SQL oraz przegląd konfiguracji zabezpieczeń bazy danych. Priorytetowe jest szybkie działanie w celu minimalizacji ryzyka wycieku danych.

Źródła

• NVD
• Reference
• Reference