Analityczne wykorzystywanie plików cookies
SQL Injection w wtyczce WP Forms Connector dla WordPress
Wtyczka WP Forms Connector do WordPress ma krytyczną lukę SQL Injection w parametrze 'order' REST API. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 7.5 HIGH
- EPSS
- 30.18%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WP Forms Connector dla WordPress do wersji 1.8 jest podatna na atak SQL Injection poprzez parametr 'order' w REST API /wp-json/wp/v3/post/list. Luka wynika z niewystarczającej walidacji i przygotowania zapytania SQL, co umożliwia nieautoryzowanym atakującym wyciąganie wrażliwych danych z bazy.
Wpływ biznesowy
Atakujący mogą wykorzystać tę lukę do wstrzyknięcia złośliwych zapytań SQL, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Ponieważ punkt końcowy REST API ma słabą kontrolę dostępu, ryzyko nieautoryzowanego dostępu jest wysokie, co może skutkować poważnymi naruszeniami bezpieczeństwa i utratą danych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Forms Connector i ich wdrożenie. W międzyczasie ogranicz dostęp do REST API tego endpointu, monitoruj logi pod kątem podejrzanych zapytań oraz rozważ zastosowanie dodatkowych mechanizmów kontroli dostępu i filtracji parametrów wejściowych.