Luka SQL Injection w wtyczce Product Table and List Builder for WooCommerce Lite

Co wiadomo

Wtyczka Product Table and List Builder for WooCommerce Lite do WordPressa jest podatna na czasową SQL Injection poprzez parametr 'search' w wersjach do 4.6.2 włącznie. Luka wynika z niewystarczającego oczyszczania danych wejściowych, co pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do uzyskania dostępu do poufnych informacji przechowywanych w bazie danych sklepu WooCommerce, co może prowadzić do naruszenia prywatności klientów oraz utraty zaufania. Incydent może skutkować przerwami w działaniu serwisu oraz kosztami związanymi z usuwaniem skutków ataku i potencjalnymi sankcjami prawnymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji wykorzystujących parametr 'search', monitorować logi pod kątem podejrzanych zapytań SQL oraz przeprowadzić audyt bezpieczeństwa bazy danych. Priorytetowo traktuj aktualizacje i stosuj zasady minimalizacji uprawnień dla baz danych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference