Krytyczna luka SQL Injection w wtyczce LayerSlider dla WordPress

Co wiadomo

Wtyczka LayerSlider w wersjach 7.9.11 i 7.10.0 jest podatna na atak SQL Injection poprzez akcję ls_get_popup_markup, co umożliwia nieautoryzowanym atakującym wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla bezpieczeństwa stron opartych na WordPress z zainstalowaną wtyczką LayerSlider, ponieważ umożliwia atakującym dostęp do wrażliwych informacji z bazy danych bez uwierzytelnienia. Może to prowadzić do naruszenia poufności danych oraz potencjalnych dalszych ataków na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LayerSlider u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji ls_get_popup_markup, monitorować logi pod kątem podejrzanej aktywności oraz ograniczyć ekspozycję serwisu w sieci. Priorytetowo należy ocenić ryzyko i wprowadzić odpowiednie środki zabezpieczające.

Źródła

• NVD
• Reference
• Reference