Luka SQL Injection w wtyczce ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes

Co wiadomo

Wtyczka ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes dla WordPressa jest podatna na atak SQL Injection poprzez parametr 'attribute_value_filter' w wersjach do 1.4.9 włącznie. Luka pozwala uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do wrażliwych informacji przechowywanych w bazie danych sklepu WooCommerce. Może to prowadzić do wycieku danych klientów, produktów oraz innych poufnych informacji, co negatywnie wpływa na reputację i bezpieczeństwo infrastruktury IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta i wyższego oraz monitorować logi pod kątem podejrzanej aktywności SQL. Dodatkowo należy rozważyć ograniczenie ekspozycji serwisu i priorytetyzację działań naprawczych.

Źródła

• NVD
• Reference
• Reference
• Reference