CVE-2024-8621: Krytyczna luka SQL Injection w wtyczce Daily Prayer Time dla WordPress

Co wiadomo

Wtyczka Daily Prayer Time dla WordPress do wersji 2024.08.26 włącznie zawiera krytyczną lukę SQL Injection w atrybucie 'max_word' shortcode'u 'quran_verse'. Luka pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do danych przechowywanych w bazie WordPress. Może to skutkować wyciekiem poufnych informacji, naruszeniem integralności danych oraz poważnym zagrożeniem dla bezpieczeństwa witryny i jej użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Daily Prayer Time u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Contributor i wyższego, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetowo należy ocenić ryzyko i zabezpieczyć bazę danych przed nieautoryzowanym dostępem.

Źródła

• NVD
• Reference
• Reference
• Reference