Luka SQL Injection w wtyczce Tag, Category, and Taxonomy Manager – AI Autotagger dla WordPress

Co wiadomo

Wtyczka Tag, Category, and Taxonomy Manager – AI Autotagger z OpenAI dla WordPress jest podatna na atak SQL Injection poprzez parametr 'post_types' we wszystkich wersjach do 3.40.0 włącznie. Luka pozwala użytkownikom z uprawnieniami edytora i wyższymi na wstrzyknięcie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wpływ biznesowy

Atakujący z uprawnieniami edytora mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do danych w bazie WordPress, co może skutkować wyciekiem poufnych informacji i naruszeniem integralności danych. Może to wpłynąć na bezpieczeństwo i reputację organizacji korzystającej z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu WordPress tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych zapytań SQL. Priorytetowo należy przeprowadzić audyt uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference