Luka SQL Injection w wtyczce Amelia dla WordPress (CVE-2025-12482)

Co wiadomo

Wtyczka Booking for Appointments and Events Calendar – Amelia dla WordPress do wersji 1.2.35 jest podatna na atak SQL Injection poprzez parametr 'search'. Luka wynika z niewystarczającego oczyszczania danych wejściowych, co pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Podatność umożliwia atakującym bez uwierzytelnienia dostęp do wrażliwych informacji przechowywanych w bazie danych witryny WordPress, co może prowadzić do naruszenia prywatności użytkowników oraz utraty integralności danych. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa swoich systemów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Amelia i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych zapytań SQL oraz przeprowadzić ocenę ryzyka. Warto również rozważyć zastosowanie zapór aplikacyjnych (WAF) blokujących nieautoryzowane zapytania SQL.

Źródła

• NVD
• Reference
• Reference