CVE-2025-0308: podatność SQL Injection w wtyczce Ultimate Member dla WordPress

Co wiadomo

Wtyczka Ultimate Member dla WordPress do wersji 2.9.1 włącznie zawiera podatność na czasową SQL Injection poprzez parametr wyszukiwania. Pozwala to nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność umożliwia atakującym bez uwierzytelnienia dostęp do poufnych informacji w bazie danych WordPress, co może prowadzić do wycieku danych użytkowników i naruszenia integralności systemu. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa i prywatności danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Ultimate Member u jej dostawcy i wdrożenie najnowszej wersji. W międzyczasie warto ograniczyć dostęp do funkcji wyszukiwania, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd konfiguracji zabezpieczeń bazy danych. Priorytetem jest szybkie załatanie luki lub ograniczenie jej eksploatacji.

Źródła

• NVD
• Reference
• Reference