Luka SQL Injection w wtyczce Charitable – Donation Plugin dla WordPress

Co wiadomo

Wtyczka Charitable – Donation Plugin dla WordPress do zbierania funduszy z powtarzającymi się darowiznami jest podatna na atak SQL Injection poprzez parametr donation_ids we wszystkich wersjach do 1.8.8.4 włącznie. Luka wynika z niewystarczającego zabezpieczenia parametru przekazywanego przez użytkownika oraz braku odpowiedniego przygotowania zapytania SQL.

Wpływ biznesowy

Atakujący z uprawnieniami subskrybenta lub wyższymi, którzy dokonali płatnej darowizny, mogą wstrzyknąć dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy. Może to prowadzić do naruszenia poufności informacji oraz utraty zaufania użytkowników i partnerów biznesowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanych zapytań SQL. Priorytetowo należy ocenić ryzyko i wprowadzić środki minimalizujące ekspozycję na atak.

Źródła

• NVD
• Reference
• Reference
• Reference