Luka SQL Injection w wtyczce Registrations For The Events Calendar dla WordPress

Co wiadomo

Wtyczka Registrations For The Events Calendar do WordPressa w wersjach do 3.2 włącznie jest podatna na atak SQL Injection poprzez klucze JSON w parametrze 'standard' obsługiwanym przez akcję AJAX rtec_records_edit. Atakujący z uprawnieniami co najmniej Contributor mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala na eskalację ataku SQL Injection przez użytkowników z uprawnieniami Contributor i wyższymi, którzy mogą edytować wydarzenia. Może to prowadzić do nieautoryzowanego dostępu do danych, naruszenia poufności oraz potencjalnych szkód dla integralności bazy danych. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich szybkie wdrożenie. W międzyczasie ogranicz dostęp do funkcji edycji wydarzeń tylko do zaufanych użytkowników oraz monitoruj logi systemowe pod kątem podejrzanych działań. Warto również przeprowadzić audyt uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference