Luka SQL Injection w wtyczce ELEX WooCommerce Google Shopping do WordPress

Co wiadomo

Wtyczka ELEX WooCommerce Google Shopping (Google Product Feed) dla WordPress jest podatna na atak SQL Injection poprzez parametr 'file_to_delete' w wersjach do 1.4.3 włącznie. Luka umożliwia administratorom dodanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala użytkownikom z uprawnieniami administratora na wykonanie nieautoryzowanych zapytań SQL, co może skutkować ujawnieniem poufnych informacji z bazy danych. Może to narazić infrastrukturę na ryzyko wycieku danych i potencjalne naruszenia bezpieczeństwa, wpływając negatywnie na zaufanie klientów i zgodność z regulacjami.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administratora, monitorować logi pod kątem podejrzanych zapytań SQL oraz przeprowadzić audyt uprawnień użytkowników. Priorytetowo traktuj aktualizacje i zabezpieczenia bazy danych.

Źródła

• NVD
• Reference
• Reference
• Reference