CVE-2024-4743: podatność SQL Injection w wtyczce LifterLMS dla WordPress

Co wiadomo

Wtyczka LifterLMS do WordPressa jest podatna na atak SQL Injection poprzez atrybut orderBy shortcode lifterlms_favorites w wersjach do 7.6.2 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa danych w systemach e-learningowych opartych na WordPress z zainstalowaną wtyczką LifterLMS. Nieautoryzowany dostęp do bazy danych może prowadzić do wycieku poufnych informacji, co wpływa negatywnie na reputację i zgodność z regulacjami. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i działać szybko, aby ograniczyć potencjalne szkody.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LifterLMS u dostawcy oraz ich szybkie wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony bazy danych. Priorytetem jest szybka identyfikacja i eliminacja ryzyka związanego z tą podatnością.

Źródła

• NVD
• Reference
• Reference