CVE-2025-9463: SQL Injection w wtyczkach płatności WooCommerce

Co wiadomo

Wtyczki Payments i Checkout dla WooCommerce (Stripe, PayPal, Square, Authorize.net) są podatne na czasową SQL Injection poprzez parametr 'order_by' w wersjach do 1.117.5 włącznie. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala na nieautoryzowany dostęp do danych wrażliwych przechowywanych w bazie WooCommerce, co może prowadzić do naruszenia prywatności klientów i utraty zaufania. Atakujący mogą wykorzystać lukę do eskalacji uprawnień lub wycieku informacji, co negatywnie wpływa na bezpieczeństwo i reputację firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczek WooCommerce Payments i Checkout oraz ich instalację. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych zapytań SQL oraz przeprowadzić audyt bezpieczeństwa bazy danych. Priorytetowo traktuj aktualizacje i weryfikację uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference