Уразливість SQL-ін'єкції в WP Project Manager

Що відомо

Плагін WP Project Manager для WordPress має уразливість SQL-ін'єкції через параметр 'project_id' у REST API, що дозволяє автентифікованим користувачам з доступом до проекту виконувати додаткові SQL-запити. Це може призвести до витоку конфіденційної інформації з бази даних.

Бізнес-вплив

Для власників інфраструктури та ІТ-операторів ця уразливість означає потенційний ризик компрометації даних проектів та конфіденційної інформації. Зловмисники з доступом до проекту можуть отримати несанкціонований доступ до бази даних, що ставить під загрозу цілісність і конфіденційність інформації.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP Project Manager від розробника wedevs та встановити їх. Якщо оновлення недоступні, слід обмежити доступ до REST API, ретельно контролювати права користувачів, переглянути журнали доступу на предмет підозрілої активності та пріоритезувати виправлення цієї уразливості.

Джерела

• NVD
• Reference
• Reference
• Reference