CVE-2025-9198: SQL Injection w wtyczce Wp cycle text announcement dla WordPress

Co wiadomo

Wtyczka Wp cycle text announcement dla WordPress do wersji 8.1 włącznie jest podatna na atak SQL Injection poprzez shortcode 'cycle-text'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać dodatkowe zapytania SQL, co pozwala na wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność umożliwia osobom z uprawnieniami Contributor lub wyższymi manipulowanie zapytaniami SQL, co może prowadzić do ujawnienia poufnych informacji z bazy danych. W środowiskach WordPress, gdzie wtyczka jest używana, może to skutkować naruszeniem bezpieczeństwa danych i utratą zaufania użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Wp cycle text announcement i jej instalację. W przypadku braku łatki, ogranicz dostęp do funkcji shortcode 'cycle-text' tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeprowadź przegląd uprawnień użytkowników i rozważ ich ograniczenie do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference