Luka SQL Injection w wtyczce Welcart e-Commerce dla WordPress

Co wiadomo

Wtyczka Welcart e-Commerce dla WordPress do wersji 2.11.21 jest podatna na atak SQL Injection poprzez ciasteczka, co umożliwia atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie dodatkowych zapytań SQL. Luka wynika z niewystarczającego oczyszczania danych użytkownika i braku odpowiedniego przygotowania zapytań SQL.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej autora mogą wykorzystać tę lukę do wykradzenia wrażliwych danych z bazy, co może prowadzić do naruszenia poufności informacji i potencjalnych szkód dla reputacji firmy. Właściciele stron i operatorzy IT powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Welcart e-Commerce i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż autor, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć dodatkowe zabezpieczenia bazy danych i aplikacji.

Źródła

• NVD
• Reference
• Reference