Krytyczna luka SQL injection w wtyczce WordPress Auction do wersji 3.7

Co wiadomo

Wtyczka WordPress Auction do wersji 3.7 nieprawidłowo przetwarza parametr w zapytaniu SQL, co umożliwia użytkownikom z uprawnieniami edytora i wyższymi przeprowadzenie ataku SQL injection. Luka ta ma ocenę CVSS 9.8, co wskazuje na bardzo poważne zagrożenie.

Wpływ biznesowy

Atakujący z uprawnieniami edytora lub wyższymi mogą wykorzystać tę lukę do wykonania nieautoryzowanych zapytań SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych w bazie. Może to skutkować poważnymi konsekwencjami dla integralności i poufności danych oraz stabilności działania serwisu opartego na WordPress.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki WordPress Auction i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do minimum, monitorowanie logów pod kątem podejrzanej aktywności oraz rozważenie tymczasowego wyłączenia wtyczki. Należy również przeprowadzić przegląd zabezpieczeń bazy danych i systemu.

Źródła

• NVD
• Reference