CVE-2025-1321: podatność SQL Injection w wtyczce teachPress dla WordPress

Co wiadomo

Wtyczka teachPress dla WordPress do wersji 9.0.7 włącznie jest podatna na atak SQL Injection poprzez parametr 'order' w shortcode 'tpsearch'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie poufnych danych z bazy.

Wpływ biznesowy

Podatność ta stwarza ryzyko nieautoryzowanego dostępu do danych przechowywanych w bazie WordPress, co może prowadzić do wycieku wrażliwych informacji. Administratorzy stron korzystających z teachPress powinni traktować tę lukę poważnie, zwłaszcza jeśli dostęp do panelu mają użytkownicy z uprawnieniami Contributor lub wyższymi. Atak może wpłynąć na integralność i poufność danych oraz reputację firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki teachPress i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum niezbędnego poziomu uprawnień, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie funkcji wykorzystującej parametr 'order' w shortcode 'tpsearch'.

Źródła

• NVD
• Reference
• Reference