CVE-2024-9018: podatność SQL Injection w wtyczce WP Easy Gallery

Co wiadomo

Wtyczka WP Easy Gallery dla WordPressa do wersji 4.8.5 włącznie jest podatna na czasową SQL Injection poprzez parametr 'key'. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie Współtwórcy wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Podatność ta może prowadzić do wycieku wrażliwych informacji z bazy danych, co stanowi poważne zagrożenie dla bezpieczeństwa witryny i danych użytkowników. Atakujący z uprawnieniami współtwórcy mogą wykorzystać lukę do eskalacji dostępu lub kradzieży danych, co może skutkować utratą zaufania klientów i problemami prawnymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki WP Easy Gallery do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej aktualizacji należy ograniczyć dostęp użytkowników do poziomu niższego niż Współtwórca, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd i wzmocnienie zabezpieczeń bazy danych.

Źródła

• NVD
• Reference
• Reference
• Reference