CVE-2024-6457: krytyczna luka SQL Injection w wtyczce Husky - Products Filter Professional dla WooCommerce

Co wiadomo

Wtyczka Husky - Products Filter Professional dla WooCommerce jest podatna na atak typu time-based SQL Injection poprzez parametr 'woof_author' w wersjach do 1.3.6 włącznie. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Eksploatacja tej luki może prowadzić do ujawnienia poufnych informacji z bazy danych sklepu internetowego opartego na WooCommerce, co zagraża prywatności klientów i integralności danych. Atakujący mogą uzyskać dostęp do danych użytkowników lub innych wrażliwych informacji, co może skutkować stratami finansowymi i utratą zaufania klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć dostęp do parametrów wejściowych, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony baz danych. Priorytetowo należy ocenić ryzyko i wdrożyć środki minimalizujące ekspozycję.

Źródła

• NVD
• Reference
• Reference
• Reference