Уразливість SQL-ін’єкції в Modern Events Calendar Lite для WordPress

Що відомо

Плагін Modern Events Calendar Lite для WordPress має уразливість SQL-ін’єкції через параметр 'id' у AJAX-дії 'wp_ajax_mec_load_single_page' у версіях до 6.3.0 включно. Це дозволяє неавторизованим зловмисникам додавати додаткові SQL-запити для витягання конфіденційної інформації з бази даних на сайтах із вимкненим addslashes.

Бізнес-вплив

Уразливість може призвести до витоку чутливої інформації з бази даних, що ставить під загрозу конфіденційність і цілісність даних. Для власників інфраструктури це означає потенційні ризики компрометації даних і необхідність оперативного реагування для захисту вебресурсів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від виробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до AJAX-дії, перевірити налаштування PHP (зокрема, увімкнення addslashes), провести аудит логів на предмет підозрілої активності та пріоритезувати усунення уразливості.

Джерела

• NVD
• Reference
• Reference