Luka SQL Injection w wtyczce wpForo Forum dla WordPress (CVE-2025-4203)

Co wiadomo

Wtyczka wpForo Forum do WordPressa do wersji 2.4.8 zawiera podatność na SQL Injection typu error-based i time-based poprzez funkcję get_members(), wynikającą z braku walidacji parametrów 'offset' i 'row_count'. Atakujący mogą wykorzystać tę lukę do wyciągania wrażliwych danych z bazy.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wykonanie złośliwych zapytań SQL, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Może to skutkować naruszeniem integralności danych oraz utratą zaufania użytkowników. Operatorzy stron opartych na WordPress z tą wtyczką powinni traktować zagrożenie jako wysokie i priorytetowo podjąć działania naprawcze.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki wpForo Forum i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wykorzystujących podatne parametry, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie zapór aplikacyjnych (WAF). Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference