CVE-2025-1702: SQL Injection w wtyczce Ultimate Member dla WordPress

Co wiadomo

Wtyczka Ultimate Member dla WordPress do zarządzania profilami użytkowników i rejestracją jest podatna na czasową SQL Injection poprzez parametr 'search' we wszystkich wersjach do 2.10.0 włącznie. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Podatność umożliwia atakującym bez uwierzytelnienia dostęp do wrażliwych informacji przechowywanych w bazie danych WordPress, co może prowadzić do naruszenia prywatności użytkowników oraz kompromitacji całej witryny. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka, szczególnie w środowiskach z dużą ilością danych osobowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ultimate Member i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wyszukiwania, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć zastosowanie zapór aplikacyjnych (WAF) do blokowania prób ataku. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference