CVE-2025-2186: SQL Injection w wtyczce Recover WooCommerce Cart Abandonment do WordPress

Co wiadomo

Wtyczka Recover WooCommerce Cart Abandonment, Newsletter, Email Marketing, Marketing Automation by FunnelKit do WordPress do wersji 3.5.1 jest podatna na atak SQL Injection przez parametr 'automationId'. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do wrażliwych danych przechowywanych w bazie WordPress, co może prowadzić do naruszenia prywatności użytkowników oraz kompromitacji integralności systemu. Właściciele sklepów WooCommerce powinni traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa swoich danych i reputacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Recover WooCommerce Cart Abandonment i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do parametrów wtyczki, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i wzmocnić zabezpieczenia bazy danych.

Źródła

• NVD
• Reference
• Reference
• Reference