CVE-2025-5487: SQL Injection w wtyczce AutomatorWP dla WordPress

Co wiadomo

Wtyczka AutomatorWP do WordPressa jest podatna na czasową SQL Injection poprzez parametr field_conditions w wersjach do 5.2.3 włącznie. Luka umożliwia administratorom systemu wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do wrażliwych danych w bazie WordPressa, co może prowadzić do naruszenia poufności i integralności danych. Wtyczka pozwala na rozszerzenie dostępu do tej funkcji także dla autorów i wyższych ról, zwiększając ryzyko nadużyć w środowisku produkcyjnym.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki AutomatorWP i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wtyczki tylko do zaufanych administratorów, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć czasowe wyłączenie wtyczki. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference
• Reference