CVE-2025-8994: SQL Injection w wtyczce WP Project Manager do WordPress

Co wiadomo

Wtyczka WP Project Manager do WordPress (wersje do 2.6.26 włącznie) jest podatna na czasową SQL Injection poprzez parametr 'completed_at_operator'. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wyciek wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala na nieautoryzowany dostęp do danych przechowywanych w bazie WordPress, co może skutkować wyciekiem poufnych informacji i naruszeniem integralności danych. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa aplikacji i danych użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Project Manager i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu WordPress do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i ocenić potencjalne skutki incydentu.

Źródła

• NVD
• Reference
• Reference
• Reference