Analityczne wykorzystywanie plików cookies
CVE-2026-12937: SQL Injection w wtyczce Tourfic dla WordPress
Wtyczka Tourfic do WordPress ma lukę SQL Injection umożliwiającą wykradanie danych. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 7.5 HIGH
- EPSS
- 22.68%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental dla WordPress do wersji 2.22.7 jest podatna na SQL Injection poprzez parametr 'post_id'. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.
Wpływ biznesowy
Podatność umożliwia atakującym bez uwierzytelnienia dostęp do wrażliwych informacji z bazy danych serwisu WordPress, co może prowadzić do naruszenia poufności danych i potencjalnych dalszych ataków na infrastrukturę. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza w środowiskach z publicznie dostępnymi stronami hotelowymi korzystającymi z tej wtyczki.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Tourfic i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji AJAX obsługujących zapytania bez uwierzytelnienia oraz monitoruj logi pod kątem podejrzanych zapytań SQL. Przeprowadź audyt bezpieczeństwa i rozważ zastosowanie dodatkowych mechanizmów zabezpieczających przed SQL Injection.