CVE-2025-0723: podatność SQL Injection w wtyczce ProfileGrid dla WordPress

Co wiadomo

Wtyczka ProfileGrid – User Profiles, Groups and Communities dla WordPress do wersji 5.9.4.7 jest podatna na ślepe i oparte na czasie ataki SQL Injection poprzez parametry rid i search. Luka wynika z niewystarczającego oczyszczania danych wejściowych, co umożliwia uwierzytelnionym użytkownikom na poziomie Subskrybenta i wyższym wstrzyknięcie dodatkowych zapytań SQL.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą wykorzystać tę podatność do wykradania wrażliwych danych z bazy WordPress, co może prowadzić do naruszenia prywatności użytkowników i kompromitacji systemu. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako poważne zagrożenie dla integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ProfileGrid u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie funkcji wykorzystujących podatne parametry. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na atak.

Źródła

• NVD
• Reference
• Reference
• Reference