CVE-2024-2344: podatność SQL Injection w motywie Avada dla WordPress

Co wiadomo

Motyw Avada dla WordPress w wersjach do 7.11.6 włącznie jest podatny na atak SQL Injection poprzez parametr 'entry'. Luka wynika z niewystarczającego zabezpieczenia parametru przekazywanego przez użytkownika, co umożliwia atakującym z uprawnieniami edytora lub wyższymi wstrzyknięcie dodatkowych zapytań SQL.

Wpływ biznesowy

Atakujący z uprawnieniami edytora lub wyższymi mogą wykorzystać tę lukę do wykradania wrażliwych danych z bazy danych, co stanowi poważne zagrożenie dla bezpieczeństwa i integralności systemu CMS. Może to prowadzić do naruszenia poufności danych oraz potencjalnych dalszych ataków na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji motywu Avada u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych zapytań SQL oraz przeprowadzić audyt bezpieczeństwa bazy danych i serwera WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference