Уразливість SQL-ін’єкції в плагіні LTL Freight Quotes для WordPress

Що відомо

Плагін LTL Freight Quotes – GlobalTranz Edition для WordPress має уразливість SQL-ін’єкції через недостатню обробку параметра 'engtz_wd_save_dropship' в AJAX-запитах у версіях до 2.3.11 включно. Це дозволяє неавторизованим зловмисникам додавати шкідливі SQL-запити для витягання конфіденційної інформації з бази даних.

Бізнес-вплив

Уразливість може призвести до компрометації бази даних, включно з витоком чутливої інформації, що створює серйозні ризики для безпеки вебсайту та бізнес-операцій. Власники інфраструктури повинні враховувати можливі наслідки для конфіденційності та цілісності даних, а також репутаційні втрати.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна від виробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до вразливого AJAX-ендпоінту, провести аудит логів на предмет підозрілої активності та впровадити додаткові заходи безпеки, такі як веб-фаєрволи. Пріоритезуйте виправлення цієї уразливості через високий рівень ризику.

Джерела

• NVD
• Reference
• Reference