CVE-2024-1990: Уразливість blind SQL Injection у RegistrationMagic для WordPress

Що відомо

Плагін RegistrationMagic для WordPress містить уразливість blind SQL Injection через параметр 'id' шорткоду RM_Form у версіях до 5.3.1.0 включно. Це дозволяє автентифікованим користувачам із рівнем доступу не нижче contributor додавати додаткові SQL-запити для витягання конфіденційних даних із бази.

Бізнес-вплив

Уразливість може призвести до витоку чутливої інформації з бази даних сайту, що створює ризики для безпеки користувацьких даних і цілісності системи. Для власників інфраструктури WordPress це означає необхідність швидкого реагування, оскільки зловмисники з мінімальним рівнем доступу можуть розширити свої можливості атаки.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна RegistrationMagic від розробника metagauss і встановити їх. Якщо оновлення недоступні, слід обмежити доступ користувачів із рівнем contributor і вище, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію вразливого параметра.

Джерела

• NVD
• Reference
• Reference
• Reference