CVE-2025-9947: SQL Injection w wtyczce Custom 404 Pro dla WordPress

Co wiadomo

Wtyczka Custom 404 Pro dla WordPress do wersji 3.12.0 jest podatna na czasową SQL Injection poprzez parametr 'path'. Atakujący z uprawnieniami administratora mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala administratorom złośliwym na manipulację zapytaniami SQL, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Może to narazić infrastrukturę na wycieki danych i utratę integralności informacji, wpływając negatywnie na zaufanie użytkowników i zgodność z regulacjami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Custom 404 Pro i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administratora, monitorować logi pod kątem podejrzanych zapytań SQL oraz przeprowadzić audyt bezpieczeństwa bazy danych. Priorytetowo traktuj aktualizacje i weryfikuj poprawność danych wejściowych.

Źródła

• NVD
• Reference
• Reference