Luka SQL Injection w wtyczce Boost dla WordPress (CVE-2026-9010)

Co wiadomo

Wtyczka Boost dla WordPress w wersjach do 2.0.3 włącznie jest podatna na czasową SQL Injection poprzez parametry 'current_url' i 'user_name'. Luka wynika z niewystarczającego oczyszczania danych wejściowych, co pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Podatność umożliwia atakującym bez uwierzytelnienia dostęp do wrażliwych informacji przechowywanych w bazie danych WordPress, co może prowadzić do naruszenia poufności danych i dalszych ataków na infrastrukturę. Operatorzy CMS powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza w środowiskach z publicznym dostępem do wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Boost u jej dostawcy i wdrożenie najnowszej wersji. W przypadku braku łatki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych zapytań SQL oraz priorytetyzować działania zabezpieczające. Regularne przeglądy bezpieczeństwa i stosowanie zasad minimalnych uprawnień bazy danych również pomogą ograniczyć ryzyko.

Źródła

• NVD
• Reference
• Reference