Luka SQL Injection w wtyczce Blog2Social dla WordPress

Co wiadomo

Wtyczka Blog2Social: Social Media Auto Post & Scheduler do WordPressa jest podatna na atak SQL Injection poprzez parametr 'prgSortPostType' we wszystkich wersjach do 8.4.4 włącznie. Luka umożliwia uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do wrażliwych informacji w bazie danych, co może prowadzić do wycieku danych i naruszenia integralności systemu. Zagrożenie to wpływa na bezpieczeństwo witryn korzystających z podatnej wersji wtyczki, zwiększając ryzyko ataków wewnętrznych i eskalacji uprawnień.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Blog2Social i jej instalację, jeśli jest dostępna nowsza wersja. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa bazy danych i systemu WordPress.

Źródła

• NVD
• Reference
• Reference