Luka SQL Injection w wtyczce Accessibility Suite by Ability, Inc dla WordPress

Co wiadomo

Wtyczka Accessibility Suite by Ability, Inc dla WordPress do wersji 4.20 włącznie jest podatna na atak SQL Injection poprzez parametr 'scan_id'. Luka umożliwia uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Atakujący z dostępem co najmniej na poziomie Subskrybenta mogą wykorzystać lukę do uzyskania nieautoryzowanego dostępu do wrażliwych informacji w bazie danych, co może prowadzić do naruszenia poufności danych i potencjalnych szkód dla reputacji firmy. Wykorzystanie tej podatności może również wpłynąć na integralność i dostępność systemu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Accessibility Suite i ich instalację. W przypadku braku łatki, ogranicz dostęp użytkowników do minimum niezbędnego oraz monitoruj logi pod kątem podejrzanej aktywności SQL. Warto również przeprowadzić audyt bezpieczeństwa i priorytetyzować działania naprawcze.

Źródła

• NVD
• Reference
• Reference
• Reference