Analityczne wykorzystywanie plików cookies
CVE-2024-7717: podatność SQL Injection w wtyczce WP Events Manager
Wtyczka WP Events Manager do WordPressa ma poważną podatność SQL Injection, umożliwiającą wykradanie danych. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 8.8 HIGH
- EPSS
- 39.8%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp events manager
Co wiadomo
Wtyczka WP Events Manager dla WordPressa do wersji 2.1.11 włącznie zawiera podatność typu time-based SQL Injection w parametrze 'order'. Umożliwia to atakującym z uprawnieniami subskrybenta lub wyższymi wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.
Wpływ biznesowy
Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa danych w systemach korzystających z WP Events Manager, umożliwiając nieautoryzowany dostęp do wrażliwych informacji. Atakujący z niskim poziomem uprawnień mogą eskalować swoje możliwości, co zwiększa ryzyko naruszenia integralności i poufności danych. Operatorzy powinni traktować tę lukę jako wysokiego priorytetu do zaadresowania.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Events Manager i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić audyt bezpieczeństwa bazy danych i systemu WordPress.