Luka SQL Injection w wtyczce HUSKY – Products Filter Professional dla WooCommerce

Co wiadomo

Wtyczka HUSKY – Products Filter Professional dla WooCommerce w wersjach do 1.3.7.1 jest podatna na ślepą SQL Injection poprzez parametr 'phrase'. Luka wynika z niewystarczającego zabezpieczenia i pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do wykradzenia poufnych danych z bazy danych sklepu internetowego opartego na WooCommerce. Może to prowadzić do naruszenia prywatności klientów, utraty zaufania oraz potencjalnych strat finansowych i prawnych dla właścicieli infrastruktury IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanych zapytań SQL. Priorytetowo traktuj audyt i zabezpieczenie baz danych oraz stosuj zasady minimalizacji uprawnień.

Źródła

• NVD
• Reference
• Reference