CVE-2025-8977: SQL Injection w wtyczce Simple Download Monitor dla WordPress

Co wiadomo

Wtyczka Simple Download Monitor do WordPressa jest podatna na czasową SQL Injection poprzez parametr 'order' we wszystkich wersjach do 3.9.33 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika, przyznanymi przez administratora, mogą wstrzykiwać dodatkowe zapytania SQL i wykradać wrażliwe dane z bazy.

Wpływ biznesowy

Podatność umożliwia osobom z ograniczonym dostępem do panelu WordPressa eskalację możliwości poprzez wstrzykiwanie zapytań SQL, co może prowadzić do wycieku poufnych informacji z bazy danych. Może to wpłynąć na integralność i poufność danych, a także na reputację firmy korzystającej z tej wtyczki.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki Simple Download Monitor i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, monitorowanie logów pod kątem podejrzanych zapytań SQL oraz przegląd konfiguracji zabezpieczeń bazy danych. Priorytetem jest szybka identyfikacja i eliminacja ryzyka związanego z tą podatnością.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference