Wrażliwość na ślepą SQL Injection w wtyczce WP Google Map dla WordPress

Co wiadomo

Wtyczka WP Google Map dla WordPress do wersji 1.0 włącznie jest podatna na ślepą SQL Injection poprzez parametr 'id' shortcode'u 'google_map'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie poufnych danych z bazy.

Wpływ biznesowy

Podatność pozwala na eskalację ataku wewnątrz systemu WordPress przez użytkowników z uprawnieniami współpracownika i wyższymi, co może prowadzić do ujawnienia wrażliwych informacji z bazy danych. Może to skutkować naruszeniem prywatności danych i obniżeniem zaufania do serwisu, a także potencjalnymi dalszymi atakami na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Google Map i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż Współpracownik, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj przegląd i zabezpieczenie zapytań SQL w aplikacji.

Źródła

• NVD
• Reference
• Reference