Krytyczna luka SQL Injection w wtyczce EventON dla WordPress

Co wiadomo

Wtyczka EventON - WordPress Virtual Event Calendar do wersji 5.0.11 jest podatna na atak SQL Injection poprzez parametr 'search'. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych, jeśli włączona jest opcja "Enable additional search queries" i istnieje co najmniej jedno opublikowane wydarzenie.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do wrażliwych danych przechowywanych w bazie WordPress, co może prowadzić do naruszenia prywatności użytkowników i kompromitacji całej witryny. Wysoki poziom krytyczności wskazuje na pilną potrzebę zabezpieczenia systemu, zwłaszcza w środowiskach produkcyjnych z aktywnymi wydarzeniami.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki EventON i ich wdrożenie. Jeśli aktualizacja nie jest możliwa, należy rozważyć tymczasowe wyłączenie funkcji "Enable additional search queries" oraz ograniczenie dostępu do funkcji wyszukiwania. Dodatkowo warto przejrzeć logi serwera pod kątem podejrzanych zapytań SQL i monitorować system pod kątem nietypowej aktywności.

Źródła

• NVD
• Reference
• Reference