Analytical use of cookies
Уразливість SQL Injection у плагіні WP Travel для WordPress
Виявлено SQL Injection у WP Travel плагіні WordPress, що дозволяє витягувати дані через параметр booking_itinerary. Рекомендується оновлення та аудит безпеки.
- CVSS
- 6.5 MEDIUM
- EPSS
- 37.34%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін WP Travel – Ultimate Travel Booking System для WordPress має уразливість SQL Injection через параметр 'booking_itinerary' у функції 'wptravel_get_booking_data' у версіях до 10.0.0 включно. Це дозволяє автентифікованим користувачам з рівнем доступу Subscriber і вище виконувати додаткові SQL-запити для витягання конфіденційної інформації з бази даних.
Бізнес-вплив
Уразливість може призвести до витоку чутливих даних із бази даних сайту, що використовує плагін WP Travel. Це створює ризики для конфіденційності клієнтів і цілісності інформації, а також може вплинути на довіру користувачів і репутацію бізнесу. ІТ-операторам слід враховувати можливість несанкціонованого доступу до даних через цю вразливість.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна WP Travel і застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем Subscriber і вище, провести аудит логів на предмет підозрілої активності, а також розглянути можливість тимчасового відключення плагіна або обмеження функціоналу, що використовує уразливий параметр. Важливо також регулярно моніторити безпекові оновлення від розробника.