CVE-2024-4295: krytyczna luka SQL Injection w wtyczce Email Subscribers & Newsletters

Co wiadomo

Wtyczka Email Subscribers by Icegram Express dla WordPressa do wersji 5.7.20 włącznie zawiera krytyczną lukę SQL Injection poprzez parametr 'hash'. Pozwala to nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Luka o wysokim poziomie ryzyka (CVSS 9.8) umożliwia atakującym dostęp do wrażliwych informacji w bazie danych WordPressa bez uwierzytelnienia. Może to prowadzić do poważnych naruszeń bezpieczeństwa, utraty danych i uszkodzenia reputacji firmy. Operatorzy powinni traktować tę podatność jako priorytetową do zaadresowania.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy Icegram i jej instalację. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych zapytań SQL oraz przeprowadzić audyt bezpieczeństwa bazy danych. Priorytetowo traktuj aktualizacje i zabezpieczenia środowiska WordPress.

Źródła

• NVD
• Reference
• Reference