Luka SQL Injection w wtyczce Smartcat Translator dla WPML w WordPress

Co wiadomo

Wtyczka Smartcat Translator dla WPML w WordPress do wersji 3.1.72 jest podatna na czasową SQL Injection poprzez parametr 'orderby'. Luka pozwala uwierzytelnionym użytkownikom z uprawnieniami autora i wyższymi na wstrzyknięcie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wpływ biznesowy

Atakujący z uprawnieniami autora mogą wykorzystać lukę do modyfikacji zapytań SQL i uzyskania dostępu do poufnych informacji w bazie danych. Może to skutkować naruszeniem integralności i poufności danych, co wpływa na bezpieczeństwo i reputację organizacji korzystającej z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Smartcat Translator dla WPML i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do panelu WordPress do zaufanych użytkowników, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony baz danych i aplikacji.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference