Luka SQL Injection w wtyczce B1.lt dla WordPress (CVE-2025-6718)

Co wiadomo

Wtyczka B1.lt dla WordPress do wersji 2.2.57 włącznie posiada lukę SQL Injection z powodu braku odpowiedniej weryfikacji uprawnień przy akcji AJAX b1_run_query. Umożliwia to uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym wykonanie dowolnych poleceń SQL.

Wpływ biznesowy

Atakujący z kontem o minimalnych uprawnieniach mogą manipulować bazą danych WordPress, co może prowadzić do wycieku danych, modyfikacji zawartości lub eskalacji uprawnień. Organizacje korzystające z tej wtyczki są narażone na poważne naruszenia bezpieczeństwa i utratę integralności danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki B1.lt i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj audyt uprawnień użytkowników i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference