CVE-2024-5329: podatność SQL Injection w wtyczce Unlimited Elements for Elementor

Co wiadomo

Wtyczka Unlimited Elements for Elementor do WordPressa jest podatna na ślepą SQL Injection poprzez parametr 'data[addonID]' w wersjach do 1.5.109 włącznie. Atakujący z uprawnieniami co najmniej Contributor mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala na eskalację ataku przez użytkowników z uprawnieniami Contributor i wyższymi, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Może to skutkować naruszeniem integralności i poufności danych, a także potencjalnymi dalszymi atakami na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Contributor oraz wyżej, monitorować logi pod kątem podejrzanej aktywności i ograniczyć ekspozycję serwisu. Priorytetowo należy przeprowadzić audyt bezpieczeństwa bazy danych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference