Luka SQL Injection w wtyczce The Events Calendar dla WordPress (CVE-2025-9807)

Co wiadomo

Wtyczka The Events Calendar dla WordPress do wersji 6.15.1 jest podatna na czasową SQL Injection poprzez parametr 's'. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do danych przechowywanych w bazie WordPress, co może prowadzić do wycieku poufnych informacji i naruszenia integralności systemu. Zagrożenie to jest szczególnie istotne dla firm korzystających z tej wtyczki do zarządzania wydarzeniami online.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki The Events Calendar i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do parametrów wejściowych, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć zastosowanie zapór aplikacyjnych (WAF) w celu ochrony przed atakami SQL Injection.

Źródła

• NVD
• Reference
• Reference