Luka SQL Injection w wtyczce Riaxe Product Customizer dla WordPress

Co wiadomo

Wtyczka Riaxe Product Customizer dla WordPress do wersji 2.1.2 jest podatna na atak SQL Injection poprzez parametr 'options' w endpointzie REST API /wp-json/InkXEProductDesignerLite/add-item-to-cart. Luka wynika z niewystarczającego zabezpieczenia danych wejściowych, co umożliwia nieautoryzowanym atakującym wyciągnięcie wrażliwych informacji z bazy danych.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do wstrzyknięcia złośliwych zapytań SQL, co może prowadzić do ujawnienia poufnych danych przechowywanych w bazie WordPress. Może to skutkować naruszeniem prywatności użytkowników oraz poważnymi konsekwencjami dla integralności i dostępności systemu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Riaxe Product Customizer i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do endpointu REST API, monitorować logi pod kątem podejrzanych zapytań oraz przeprowadzić audyt bezpieczeństwa. Priorytetowo należy ocenić ryzyko i wdrożyć środki minimalizujące ekspozycję na atak.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference