CVE-2024-2871: podatność SQL Injection w wtyczce Media Library Assistant dla WordPress

Co wiadomo

Wtyczka Media Library Assistant dla WordPress do wersji 3.13 włącznie jest podatna na atak SQL Injection poprzez shortcode'y, co umożliwia uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy wstrzyknięcie dodatkowych zapytań SQL. Luka wynika z niewystarczającego zabezpieczenia parametrów użytkownika i braku odpowiedniego przygotowania zapytań SQL.

Wpływ biznesowy

Atakujący z dostępem współtwórcy lub wyższym mogą wykorzystać tę podatność do wykradzenia wrażliwych danych z bazy danych, co stanowi poważne zagrożenie dla integralności i poufności informacji. Może to prowadzić do naruszenia danych i utraty zaufania użytkowników oraz wymaga natychmiastowej reakcji ze strony administratorów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Media Library Assistant i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych zapytań SQL oraz przeprowadzić audyt bezpieczeństwa bazy danych. Priorytetem jest szybka reakcja na potencjalne incydenty i minimalizacja ekspozycji systemu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference