CVE-2025-12166: Blind SQL Injection w wtyczce Appointment Booking Calendar dla WordPress

Co wiadomo

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin dla WordPress do wersji 1.6.9.9 jest podatna na atak typu blind SQL Injection poprzez parametry `order` i `append_where_sql`. Luka wynika z niewystarczającego zabezpieczenia danych wejściowych, co pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do ekstrakcji wrażliwych informacji z bazy danych, co może prowadzić do naruszenia poufności danych i potencjalnych dalszych ataków na infrastrukturę IT. Organizacje korzystające z tej wtyczki powinny traktować tę podatność jako poważne zagrożenie dla bezpieczeństwa swoich systemów WordPress.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki u dostawcy i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie ekspozycji serwisu, monitorowanie logów pod kątem podejrzanych zapytań SQL oraz priorytetowe wdrożenie środków zapobiegawczych. Regularne przeglądy bezpieczeństwa i audyty konfiguracji bazy danych również są wskazane.

Źródła

• NVD
• Reference
• Reference