CVE-2024-5606: podatność SQL injection w wtyczce Quiz and Survey Master dla WordPress

Co wiadomo

Wtyczka Quiz and Survey Master (QSM) dla WordPress w wersjach przed 9.0.2 zawiera lukę SQL injection w parametrze question_id w akcji AJAX qsm_bulk_delete_question_from_database. Luka może być wykorzystana przez użytkowników z rolą Contributor i wyższą.

Wpływ biznesowy

Podatność umożliwia atakującemu z uprawnieniami Contributor lub wyższymi wykonanie złośliwych zapytań SQL, co może prowadzić do nieautoryzowanego dostępu lub modyfikacji danych w bazie. Może to skutkować naruszeniem integralności i poufności danych oraz zakłóceniem działania serwisu opartego na WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Quiz and Survey Master do wersji 9.0.2 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości aktualizacji, ogranicz dostęp do ról Contributor i wyższych oraz monitoruj logi systemowe pod kątem podejrzanej aktywności. Przeprowadź przegląd uprawnień użytkowników i rozważ wdrożenie dodatkowych mechanizmów zabezpieczeń.

Źródła

• NVD
• Reference