CVE-2025-2221: podatność SQL Injection w wtyczce wpcom member dla WordPress

Co wiadomo

Wtyczka wpcom member do WordPressa jest podatna na czasową SQL Injection poprzez parametr 'user_phone' w wersjach do 1.7.6 włącznie. Atakujący bez uwierzytelnienia mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność ta stwarza wysokie ryzyko dla właścicieli stron opartych na WordPress z zainstalowaną wtyczką wpcom member, ponieważ umożliwia nieautoryzowany dostęp do danych. Może to prowadzić do wycieku informacji, naruszenia prywatności użytkowników oraz potencjalnych strat finansowych i reputacyjnych. Operatorzy powinni traktować tę lukę priorytetowo ze względu na jej wysoką ocenę CVSS (7.5).

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować dostępność aktualizacji wtyczki wpcom member i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie ekspozycji serwisu, monitorowanie logów pod kątem podejrzanych zapytań SQL oraz przegląd i wzmocnienie mechanizmów filtrowania i walidacji danych wejściowych. Priorytetem jest szybka reakcja i minimalizacja ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference