Krytyczna luka SQL Injection w wtyczce Email Subscribers & Newsletters dla WordPress

Co wiadomo

Wtyczka Email Subscribers by Icegram Express do WordPress i WooCommerce jest podatna na czasową SQL Injection poprzez parametr db we wszystkich wersjach do 5.7.25 włącznie. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Ta krytyczna podatność może prowadzić do poważnych naruszeń bezpieczeństwa, w tym ujawnienia poufnych informacji przechowywanych w bazie danych WordPress. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako wysokie ryzyko, zwłaszcza w środowiskach przetwarzających dane osobowe lub finansowe.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy Icegram i ich szybkie wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetowo traktuj audyt i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference