CVE-2025-7638: SQL Injection w wtyczce Forminator Forms dla WordPress

Co wiadomo

Wtyczka Forminator Forms dla WordPress do wersji 1.45.0 jest podatna na czasową SQL Injection poprzez parametr 'order_by'. Atakujący z uprawnieniami administratora mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wyciek wrażliwych danych z bazy.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora rozszerzenie istniejących zapytań SQL o własne polecenia, co może prowadzić do nieautoryzowanego dostępu do danych. Może to skutkować naruszeniem poufności informacji oraz potencjalnym uszkodzeniem integralności bazy danych, wpływając negatywnie na działanie usług i reputację firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Forminator Forms i ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów do niezbędnego minimum, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających bazę danych i aplikację.

Źródła

• NVD
• Reference
• Reference