CVE-2026-3456: SQL Injection w wtyczce GeekyBot dla WordPress

Co wiadomo

Wtyczka GeekyBot do WordPressa w wersjach do 1.2.0 ma lukę SQL Injection w parametrze 'attributekey', co pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Luka umożliwia atakującym bez uwierzytelnienia dostęp do wrażliwych informacji przechowywanych w bazie danych WordPressa, co może prowadzić do naruszenia poufności danych i dalszych ataków na infrastrukturę. Operatorzy powinni traktować tę podatność jako wysokiego ryzyka, zwłaszcza w środowiskach z publicznym dostępem do serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki GeekyBot i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do parametrów wejściowych, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest szybka reakcja w celu minimalizacji ryzyka wycieku danych.

Źródła

• NVD
• Reference
• Reference