CVE-2024-6479: podatność SQL Injection w wtyczce SIP Reviews Shortcode for WooCommerce

Co wiadomo

Wtyczka SIP Reviews Shortcode for WooCommerce dla WordPressa do wersji 1.2.3 włącznie zawiera lukę SQL Injection w atrybucie 'no_of_reviews' shortcode'u woocommerce_reviews. Luka wynika z niewystarczającego oczyszczania danych wejściowych, co umożliwia nieautoryzowanym atakującym wstrzyknięcie dodatkowych zapytań SQL i potencjalne wykradanie danych z bazy.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do wrażliwych informacji przechowywanych w bazie danych sklepu WooCommerce. Może to prowadzić do naruszenia prywatności klientów, utraty danych oraz uszkodzenia reputacji firmy. Wdrożenie odpowiednich środków zabezpieczających jest kluczowe dla ochrony integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć zastosowanie mechanizmów zapobiegających SQL Injection. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference