Wysokie ryzyko SQL Injection w wtyczce All in one Minifier dla WordPress

Co wiadomo

Wtyczka All in one Minifier dla WordPress do wersji 3.2 włącznie jest podatna na atak SQL Injection poprzez parametr 'post_id'. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i potencjalne wykradzenie danych z bazy.

Wpływ biznesowy

Podatność umożliwia atakującym bez uwierzytelnienia manipulowanie zapytaniami SQL, co może prowadzić do ujawnienia wrażliwych informacji z bazy danych. Może to skutkować naruszeniem poufności danych oraz potencjalnym uszkodzeniem integralności systemu WordPress, wpływając negatywnie na zaufanie użytkowników i stabilność usług.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki All in one Minifier i ich wdrożenie. W przypadku braku łatki, ogranicz dostęp do funkcji wykorzystujących parametr 'post_id', monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie reguł zapory aplikacji webowej (WAF) blokujących podejrzane zapytania SQL. Priorytetyzuj działania zabezpieczające w środowiskach produkcyjnych.

Źródła

• NVD
• Reference
• Reference