Analityczne wykorzystywanie plików cookies
CVE-2024-5605: podatność SQL Injection w wtyczce Media Library Assistant dla WordPress
Wtyczka Media Library Assistant do WordPress ma podatność SQL Injection umożliwiającą wyciek danych. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 8.8 HIGH
- EPSS
- 44.08%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- media library assistant
Co wiadomo
Wtyczka Media Library Assistant dla WordPress do wersji 3.16 włącznie zawiera podatność na czasową SQL Injection poprzez parametr 'order' w shortcode mla_tag_cloud. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy wstrzyknięcie dodatkowych zapytań SQL i wyciek danych z bazy.
Wpływ biznesowy
Podatność ta może prowadzić do nieautoryzowanego dostępu do wrażliwych informacji przechowywanych w bazie danych WordPress, co stanowi poważne zagrożenie dla integralności i poufności danych. Atakujący z uprawnieniami współtwórcy mogą wykorzystać lukę do eskalacji uprawnień lub kradzieży danych, co może skutkować utratą zaufania użytkowników i potencjalnymi konsekwencjami prawnymi.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Media Library Assistant i zaktualizować ją do najnowszej dostępnej wersji, w której podatność została załatana. W przypadku braku dostępnej poprawki zaleca się ograniczenie dostępu użytkowników do minimum niezbędnego oraz monitorowanie logów pod kątem podejrzanej aktywności SQL. Należy również rozważyć przegląd i wzmocnienie zabezpieczeń bazy danych oraz procedur zarządzania uprawnieniami.