CVE-2024-9874: podatność SQL Injection w wtyczce Poll Maker dla WordPress

Co wiadomo

Wtyczka Poll Maker dla WordPress do wersji 5.4.6 zawiera podatność na czasową SQL Injection poprzez parametr 'orderby'. Atakujący z uprawnieniami administratora mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wyciek wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala administratorom na nieautoryzowane rozszerzenie zapytań SQL, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Może to narazić infrastrukturę na ryzyko wycieku danych i utratę integralności systemu, szczególnie w środowiskach korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Poll Maker u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference