Analytical use of cookies
CVE-2024-0913: Уразливість SQL-ін’єкції у WP ERP
Уразливість SQL-ін’єкції у WP ERP дозволяє автентифікованим користувачам викрадати дані. Рекомендується оновлення та обмеження доступу.
- CVSS
- 7.2 HIGH
- EPSS
- 45.84%
- Активно використовується
- немає в KEV
- Продукт
- wp erp
Що відомо
У плагіні WP ERP для WordPress виявлено уразливість типу time-based SQL Injection через REST API endpoint erp/v1/accounting/v1/transactions/sales у версіях до 1.13.0 включно. Уразливість виникає через недостатню обробку параметрів status та customer_id, що дозволяє автентифікованим користувачам з правами менеджера з обліку або адміністратора виконувати додаткові SQL-запити.
Бізнес-вплив
Ця уразливість може призвести до витоку конфіденційної інформації з бази даних, що становить серйозну загрозу для безпеки бізнес-даних. Власники інфраструктури та ІТ-оператори повинні враховувати високий рівень ризику (CVSS 7.2) та пріоритетно реагувати на проблему, щоб запобігти потенційним атакам з боку внутрішніх користувачів з підвищеними правами.
Рекомендовані дії адміністратора
Рекомендується негайно перевірити наявність оновлень від розробника wedevs та застосувати офіційні патчі. Якщо оновлення недоступні, слід обмежити доступ до REST API для користувачів з правами менеджера з обліку та адміністратора, провести аудит логів на предмет підозрілої активності та посилити моніторинг бази даних.