Luka SQL Injection w wtyczce AffiliateWP dla WordPress (CVE-2025-8877)

Co wiadomo

Wtyczka AffiliateWP dla WordPress do wersji 2.28.2 włącznie jest podatna na atak SQL Injection poprzez funkcję ajax_get_affiliate_id_from_login. Luka wynika z niewystarczającego zabezpieczenia parametrów użytkownika, co pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Podatność ta może prowadzić do ujawnienia wrażliwych informacji z bazy danych, co stanowi poważne zagrożenie dla bezpieczeństwa witryny i danych użytkowników. Atakujący nie musi być uwierzytelniony, co zwiększa ryzyko wykorzystania luki. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako wysokiego ryzyka i podjąć odpowiednie działania.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki AffiliateWP i ich wdrożenie. W przypadku braku natychmiastowej łatki warto ograniczyć dostęp do funkcji ajax_get_affiliate_id_from_login, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd uprawnień i zabezpieczeń bazy danych. Priorytetem jest minimalizacja ekspozycji i szybkie reagowanie na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference