Analityczne wykorzystywanie plików cookies
Luka SQL Injection w wtyczce PPOM dla WooCommerce (CVE-2025-11691)
Wtyczka PPOM dla WooCommerce ma lukę SQL Injection (CVE-2025-11691). Sprawdź zalecenia bezpieczeństwa i aktualizuj wtyczkę, aby chronić dane.
- CVSS
- 7.5 HIGH
- EPSS
- 36.76%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka PPOM – Product Addons & Custom Fields dla WooCommerce w wersjach do 33.0.15 włącznie jest podatna na SQL Injection poprzez funkcję PPOM_Meta::get_fields_by_id(). Luka wynika z niewystarczającego oczyszczania parametrów użytkownika oraz braku odpowiedniego przygotowania zapytania SQL, co umożliwia nieautoryzowanym atakującym wykradanie danych z bazy.
Wpływ biznesowy
Podatność pozwala na wstrzyknięcie dodatkowych zapytań SQL przez nieautoryzowanych użytkowników, co może prowadzić do ujawnienia wrażliwych informacji z bazy danych sklepu WooCommerce. Atak jest możliwy tylko, gdy włączona jest opcja Enable Legacy Price Calculations, co ogranicza zakres ryzyka, jednak nadal stanowi poważne zagrożenie dla integralności i poufności danych.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki PPOM i ich wdrożenie. W przypadku braku łatki należy rozważyć wyłączenie opcji Enable Legacy Price Calculations, ograniczyć dostęp do funkcji podatnych na atak oraz monitorować logi pod kątem podejrzanej aktywności. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na atak.