Analytical use of cookies
Уразливість SQL-ін'єкції в WordPress Booking Calendar Contact Form 1.0.23
Виявлено сліпу SQL-ін'єкцію в WordPress Booking Calendar Contact Form 1.0.23, що дозволяє віддалене виконання SQL-запитів без аутентифікації.
- CVSS
- 8.8 HIGH
- EPSS
- 15.25%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
У плагіні WordPress Booking Calendar Contact Form версії 1.0.23 виявлено уразливість сліпої SQL-ін'єкції без аутентифікації через недостатню санітизацію параметра календаря в шорткоді. Зловмисники можуть виконувати довільні SQL-запити для отримання конфіденційної інформації з бази даних.
Бізнес-вплив
Ця уразливість дозволяє віддаленим атакам без авторизації отримувати доступ до чутливих даних бази даних сайту, що може призвести до витоку інформації та порушення цілісності даних. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних і потенційними подальшими атаками.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна від розробника та негайно застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до функції шорткоду, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію вразливого компонента. Важливо також регулярно моніторити безпекові оновлення плагіна.