Wrażliwość SQL Injection w wtyczce Booking Calendar dla WordPress

Co wiadomo

Wtyczka Booking Calendar dla WordPress do wersji 10.14.8 zawiera podatność na czasową ślepą SQL Injection poprzez parametr 'dates_to_check'. Pozwala to nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do uzyskania dostępu do wrażliwych informacji przechowywanych w bazie danych, co może prowadzić do naruszenia prywatności użytkowników i kompromitacji systemu. Zagrożenie to jest szczególnie istotne dla operatorów stron korzystających z tej wtyczki, gdyż może skutkować poważnymi konsekwencjami biznesowymi i utratą zaufania klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Booking Calendar i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do parametrów wejściowych, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć zastosowanie mechanizmów zapobiegających SQL Injection. Priorytetowo traktuj audyt i zabezpieczenie systemu.

Źródła

• NVD
• Reference
• Reference