CVE-2025-0866: podatność SQL Injection w wtyczce Legoeso PDF Manager dla WordPress

Co wiadomo

Wtyczka Legoeso PDF Manager dla WordPress do wersji 1.2.2 włącznie jest podatna na czasową SQL Injection poprzez parametr 'checkedVals'. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala na wyciek danych z bazy przez atakujących posiadających dostęp co najmniej na poziomie autora. Może to prowadzić do naruszenia poufności informacji oraz potencjalnych dalszych ataków na infrastrukturę WordPress. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie ograniczyć dostęp do panelu WordPress do zaufanych użytkowników, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony baz danych i aplikacji webowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference