Luka SQL Injection w wtyczce Shopping Cart & eCommerce Store dla WordPress

Co wiadomo

Wtyczka Shopping Cart & eCommerce Store dla WordPress do wersji 5.6.3 włącznie jest podatna na atak SQL Injection poprzez atrybut 'productid' shortcode ec_addtocart. Luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współtwórcy wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Atakujący z odpowiednimi uprawnieniami mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do wrażliwych danych przechowywanych w bazie WordPress. Może to prowadzić do naruszenia prywatności użytkowników, utraty integralności danych oraz potencjalnych szkód finansowych i reputacyjnych dla właścicieli sklepów internetowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej instalację. W międzyczasie warto ograniczyć dostęp do panelu WordPress do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych zapytań SQL. Należy również przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference