Luka SQL Injection w wtyczce Business Directory Plugin dla WordPress

Co wiadomo

Wtyczka Business Directory Plugin – Easy Listing Directories dla WordPress jest podatna na czasową SQL Injection poprzez parametr 'payment' we wszystkich wersjach do 6.4.2 włącznie. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do uzyskania dostępu do poufnych informacji przechowywanych w bazie danych WordPress, co może prowadzić do naruszenia prywatności użytkowników i kompromitacji całej witryny. Właściciele infrastruktury powinni traktować tę podatność jako wysokiego ryzyka, zwłaszcza w środowiskach z publicznym dostępem do panelu WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Business Directory Plugin i jej instalację. W przypadku braku natychmiastowej poprawki należy ograniczyć dostęp do parametrów wtyczki, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć zastosowanie zapór aplikacyjnych (WAF) w celu blokowania nieautoryzowanych prób ataku.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference