Luka SQL Injection w wtyczce WP-Members Membership Plugin dla WordPress

Co wiadomo

Wtyczka WP-Members Membership Plugin dla WordPress do wersji 3.5.5.1 jest podatna na atak SQL Injection poprzez atrybut 'order_by' shortcode [wpmem_user_membership_posts]. Luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami Contributor i wyższymi wstrzyknięcie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do danych w bazie WordPress, co może skutkować naruszeniem poufności informacji. Może to wpłynąć na reputację firmy oraz wymagać kosztownych działań naprawczych i audytów bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP-Members Membership Plugin i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu Contributor i wyższego oraz monitorować logi pod kątem podejrzanej aktywności. Warto również rozważyć dodatkowe zabezpieczenia zapytań SQL i audyt konfiguracji WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference