Analytical use of cookies
Уразливість SQL-ін’єкції у плагіні WP Events Manager для WordPress
Виявлено SQL-ін’єкцію в плагіні WP Events Manager для WordPress, що дозволяє витік даних. Рекомендується оновлення та обмеження доступу.
- CVSS
- 8.8 HIGH
- EPSS
- 39.8%
- Активно використовується
- немає в KEV
- Продукт
- wp events manager
Що відомо
Плагін WP Events Manager для WordPress має уразливість типу time-based SQL Injection через параметр 'order' у версіях до 2.1.11 включно. Це дозволяє автентифікованим користувачам з рівнем доступу Subscriber і вище виконувати додаткові SQL-запити для витягання конфіденційної інформації з бази даних.
Бізнес-вплив
Уразливість може призвести до витоку чутливих даних із бази даних сайту, що використовує плагін WP Events Manager. Це створює ризики для безпеки інформації та може вплинути на довіру користувачів і репутацію бізнесу. ІТ-оператори повинні враховувати високий рівень загрози (CVSS 8.8) при пріоритетизації заходів безпеки.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна WP Events Manager від розробника thimpress і застосувати їх, якщо доступні. У разі відсутності патчу слід обмежити доступ до функцій плагіна для користувачів з рівнем Subscriber і вище, провести аудит логів на предмет підозрілої активності та зменшити експозицію сервісу. Також варто інформувати команду безпеки та планувати пріоритетне усунення уразливості.