CVE-2024-2342: podatność SQL Injection w wtyczce Simply Schedule Appointments dla WordPress

Co wiadomo

Wtyczka Appointment Booking Calendar – Simply Schedule Appointments dla WordPress do wersji 1.6.7.7 jest podatna na atak SQL Injection poprzez parametr customer_id. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Podatność o wysokim poziomie zagrożenia (CVSS 8.8) pozwala na nieautoryzowany dostęp do wrażliwych danych w bazie WordPress, co może prowadzić do naruszenia prywatności i integralności danych. Atakujący z odpowiednimi uprawnieniami mogą wykorzystać lukę do eskalacji uprawnień lub kradzieży informacji, co stanowi poważne ryzyko dla właścicieli stron i administratorów IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Simply Schedule Appointments i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt bezpieczeństwa bazy danych. Priorytetowo traktuj aktualizacje i zabezpieczenia środowiska WordPress.

Źródła

• NVD
• Reference
• Reference