CVE-2024-6924: Krytyczna luka SQL Injection w wtyczce TrueBooker dla WordPress

Co wiadomo

Wtyczka TrueBooker dla WordPress w wersjach przed 1.0.3 nieprawidłowo oczyszcza i zabezpiecza parametr wykorzystywany w zapytaniu SQL przez akcję AJAX dostępną dla niezalogowanych użytkowników, co umożliwia atak SQL Injection.

Wpływ biznesowy

Luka o krytycznym poziomie zagrożenia (CVSS 9.8) pozwala atakującym na wykonanie nieautoryzowanych zapytań SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych w bazie. Atakujący nie musi być uwierzytelniony, co zwiększa ryzyko wykorzystania tej podatności w środowiskach produkcyjnych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki TrueBooker do wersji 1.0.3 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do funkcji AJAX wtyczki dla niezalogowanych użytkowników, monitoruj logi pod kątem podejrzanych zapytań SQL oraz przeprowadź przegląd zabezpieczeń bazy danych i aplikacji.

Źródła

• NVD
• Reference