CVE-2025-10163: SQL Injection w wtyczce List category posts dla WordPress

Co wiadomo

Wtyczka List category posts dla WordPress do wersji 0.91.0 jest podatna na czasową SQL Injection poprzez parametr 'starting_with' w shortcode catlist. Atakujący z uprawnieniami Contributor i wyższymi mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala na eskalację ataku przez użytkowników z ograniczonymi uprawnieniami, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Może to skutkować naruszeniem prywatności danych i utratą zaufania klientów, a także potencjalnymi konsekwencjami prawnymi dla właścicieli infrastruktury IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki List category posts i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wymagających uprawnień Contributor i wyższych, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć zastosowanie mechanizmów zapobiegających SQL Injection. Priorytetowo traktuj ocenę ryzyka i zabezpieczenie środowiska.

Źródła

• NVD
• Reference
• Reference