CVE-2024-3293: Blind SQL Injection w wtyczce rtMedia dla WordPress

Co wiadomo

Wtyczka rtMedia dla WordPress, BuddyPress i bbPress jest podatna na blind SQL Injection poprzez shortcode rtmedia_gallery w wersjach do 4.6.18 włącznie. Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala na eskalację ataku przez użytkowników z uprawnieniami współpracownika i wyższymi, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Może to skutkować naruszeniem prywatności danych oraz potencjalnymi stratami finansowymi i reputacyjnymi dla właścicieli serwisów opartych na WordPress z zainstalowaną tą wtyczką.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki rtMedia i ich instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niepozwalającego na wykorzystanie podatności, monitorować logi pod kątem podejrzanych zapytań SQL oraz przeprowadzić audyt bezpieczeństwa bazy danych. Priorytetowo traktuj aktualizacje i ograniczenia dostępu do funkcji shortcode rtmedia_gallery.

Źródła

• NVD
• Reference
• Reference