Analityczne wykorzystywanie plików cookies
CVE-2024-6166: podatność SQL Injection w wtyczce Unlimited Elements for Elementor
Wtyczka Unlimited Elements for Elementor podatna na SQL Injection. Sprawdź zalecenia bezpieczeństwa i aktualizacje, aby chronić dane WordPress.
- CVSS
- 8.8 HIGH
- EPSS
- 39.99%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- unlimited elements for elementor \(free widgets\, addons\, templates\)
Co wiadomo
Wtyczka Unlimited Elements for Elementor (Free Widgets, Addons, Templates) do WordPressa jest podatna na atak typu time-based SQL Injection poprzez parametr 'addons_order' w wersjach do 1.5.112 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika i możliwością edycji ustawień wtyczki mogą wyciągnąć poufne dane z bazy.
Wpływ biznesowy
Podatność umożliwia nieautoryzowany dostęp do wrażliwych informacji w bazie danych, co może prowadzić do wycieku danych i naruszenia bezpieczeństwa aplikacji. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako wysokiego ryzyka, szczególnie jeśli użytkownicy mają rozszerzone uprawnienia. Może to wpłynąć na integralność i poufność danych oraz wymagać pilnej reakcji zespołów IT.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitoruj logi pod kątem podejrzanych zapytań SQL. Przeprowadź przegląd uprawnień w WordPressie i rozważ tymczasowe wyłączenie funkcji edycji ustawień wtyczki dla mniej zaufanych użytkowników.