Luka SQL Injection w wtyczce MasterStudy LMS Pro Plus dla WordPress

Co wiadomo

Wtyczka MasterStudy LMS Pro Plus dla WordPress do wersji 4.8.20 jest podatna na SQL Injection poprzez parametr 'columns'. Atakujący z uprawnieniami instruktora lub wyższymi mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność umożliwia osobom z dostępem instruktora manipulowanie zapytaniami SQL, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Może to skutkować naruszeniem prywatności użytkowników oraz osłabieniem integralności systemu LMS, wpływając negatywnie na zaufanie do platformy i powodując potencjalne straty biznesowe.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki MasterStudy LMS Pro Plus i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do panelu instruktora, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć dodatkowe zabezpieczenia bazy danych, takie jak ograniczenie uprawnień użytkowników i stosowanie zapór aplikacyjnych.

Źródła

• NVD
• Reference
• Reference