Wielokrotna luka SQL Injection w wtyczce MultiVendorX WooCommerce do wersji 5.0.9

Co wiadomo

Wtyczka MultiVendorX – WooCommerce Multivendor Marketplace AI Powered Solutions dla WordPressa do wersji 5.0.9 jest podatna na ogólną SQL Injection poprzez parametr 'order_by'. Luka pozwala uwierzytelnionym użytkownikom z poziomem subskrybenta na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Atakujący z uprawnieniami subskrybenta mogą wykorzystać tę lukę do uzyskania dostępu do poufnych danych w bazie danych sklepu internetowego. Luka jest szczególnie niebezpieczna, gdy ustawienie automatycznej akceptacji właścicieli sklepów jest włączone, co umożliwia samodzielną rejestrację jako właściciel sklepu i eskalację uprawnień. Może to prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki MultiVendorX i ich instalację. W przypadku braku łatki należy ograniczyć możliwość automatycznej akceptacji właścicieli sklepów oraz monitorować logi pod kątem podejrzanych działań. Warto również ograniczyć dostęp do endpointów REST i przeprowadzić audyt uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference