CVE-2024-9186: podatność SQL Injection w wtyczce FunnelKit Automations

Co wiadomo

Wtyczka WordPress Recover WooCommerce Cart Abandonment, Newsletter, Email Marketing, Marketing Automation by FunnelKit w wersjach przed 3.3.0 nie filtruje poprawnie parametru bwfan-track-id, co umożliwia nieautoryzowanym użytkownikom przeprowadzenie ataku SQL Injection. Luka ta ma wysoką ocenę CVSS 8.6 i może prowadzić do poważnych naruszeń bezpieczeństwa danych.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla właścicieli stron opartych na WordPress z zainstalowaną wtyczką FunnelKit Automations, gdyż umożliwia atakującym wykonanie złośliwych zapytań SQL bez uwierzytelnienia. Może to skutkować wyciekiem, modyfikacją lub usunięciem danych, co negatywnie wpływa na integralność i poufność informacji oraz może zakłócić działanie usług e-commerce.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki FunnelKit Automations i jej aktualizację do wersji 3.3.0 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, należy ograniczyć dostęp do parametrów wejściowych, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt bezpieczeństwa. Priorytetem jest szybkie wdrożenie poprawek i minimalizacja ekspozycji na ataki SQL Injection.

Źródła

• NVD
• Reference