Luka SQL Injection w wtyczce The Events Calendar dla WordPress (CVE-2025-12197)

Co wiadomo

Wtyczka The Events Calendar dla WordPress w wersjach 6.15.1.1 do 6.15.9 jest podatna na ślepą SQL Injection poprzez parametr 's'. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do danych przechowywanych w bazie WordPress, co może prowadzić do wycieku poufnych informacji i naruszenia integralności systemu. Zagrożenie jest szczególnie istotne dla właścicieli stron korzystających z tej wtyczki, którzy powinni traktować tę podatność jako wysokiego ryzyka.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki The Events Calendar i ich wdrożenie. W przypadku braku natychmiastowej łatki, należy ograniczyć dostęp do parametrów zapytań, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest szybka reakcja w celu minimalizacji ryzyka wycieku danych.

Źródła

• NVD
• Reference
• Reference