CVE-2024-7857: luka SQL Injection w wtyczce Media Library Folders dla WordPress

Co wiadomo

Wtyczka Media Library Folders dla WordPress do wersji 8.2.2 włącznie zawiera lukę typu drugorzędnego SQL Injection poprzez parametr 'sort_type' w akcji AJAX 'mlf_change_sort_type'. Luka wynika z niewystarczającego oczyszczania danych wejściowych i pozwala uwierzytelnionym użytkownikom z uprawnieniami subskrybenta na wstrzyknięcie dodatkowych zapytań SQL.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wykorzystać lukę do wykradzenia wrażliwych danych z bazy danych, co może prowadzić do naruszenia poufności informacji. Zagrożenie to wpływa na bezpieczeństwo witryn WordPress korzystających z tej wtyczki, zwiększając ryzyko wycieku danych i potencjalnych dalszych ataków.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować dostępność aktualizacji wtyczki Media Library Folders u dostawcy i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie dostępu użytkowników do minimum, monitorowanie logów pod kątem podejrzanych zapytań SQL oraz przegląd konfiguracji zabezpieczeń bazy danych. Priorytetem jest szybka reakcja i minimalizacja ekspozycji podatności.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference