CVE-2024-3060: podatność SQL injection w wtyczce ENL Newsletter dla WordPress

Co wiadomo

Wtyczka ENL Newsletter do WordPressa w wersjach do 1.0.1 nieprawidłowo oczyszcza i nie zabezpiecza parametru przed użyciem w zapytaniu SQL, co umożliwia użytkownikom z uprawnieniami admin+ przeprowadzenie ataków SQL injection. Luka została oceniona jako średniego ryzyka (CVSS 4.5).

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do manipulacji bazą danych poprzez wstrzyknięcie złośliwych zapytań SQL, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji. W środowiskach korzystających z tej wtyczki istnieje ryzyko naruszenia integralności i poufności danych, co może wpłynąć na stabilność i bezpieczeństwo systemu CMS.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować dostępność aktualizacji wtyczki ENL Newsletter i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do minimum, monitorowanie logów pod kątem podejrzanych działań oraz rozważenie tymczasowego wyłączenia wtyczki. Należy również przeprowadzić audyt bezpieczeństwa bazy danych i systemu WordPress.

Źródła

• NVD
• Reference