Analityczne wykorzystywanie plików cookies
CVE-2024-9130: podatność SQL Injection w wtyczce GiveWP dla WordPress
Wtyczka GiveWP dla WordPress ma podatność SQL Injection umożliwiającą wyciek danych. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 7.2 HIGH
- EPSS
- 48.56%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- givewp
Co wiadomo
Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPress jest podatna na czasową SQL Injection poprzez parametr 'order' we wszystkich wersjach do 3.16.1 włącznie. Atakujący z uprawnieniami menedżera GiveWP mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.
Wpływ biznesowy
Podatność pozwala na eskalację ataku przez uwierzytelnionych użytkowników z poziomem menedżera GiveWP, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Może to skutkować naruszeniem prywatności darczyńców i utratą zaufania do organizacji korzystających z wtyczki. Infrastruktura WordPress z zainstalowanym GiveWP wymaga pilnej oceny ryzyka i działań naprawczych.
Rekomendowane działania administratora
Administratorzy powinni jak najszybciej zweryfikować dostępność aktualizacji wtyczki GiveWP i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie dostępu do panelu zarządzania GiveWP oraz monitorowanie logów pod kątem podejrzanych zapytań SQL. Należy również przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.