Вразливість SQL-ін'єкції в плагіні Community Events для WordPress

Що відомо

Плагін Community Events для WordPress має вразливість SQL-ін'єкції через параметр 'dayofyear' у версіях до 1.5.4 включно. Це дозволяє неавторизованим зловмисникам додавати шкідливі SQL-запити для витягання конфіденційної інформації з бази даних.

Бізнес-вплив

Вразливість може призвести до компрометації бази даних сайту, викрадення або зміни конфіденційних даних, що негативно впливає на довіру користувачів і безпеку бізнесу. Власники інфраструктури повинні розглянути ризики, пов’язані з експлуатацією цієї вразливості, особливо якщо плагін використовується на продуктивних сайтах.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Community Events і встановити останню версію, яка усуває цю вразливість. Якщо оновлення недоступне, слід обмежити доступ до параметра 'dayofyear', провести аудит логів на предмет підозрілих запитів і розглянути тимчасове відключення плагіна. Загалом, варто зменшити експозицію вразливого компонента та пріоритезувати його оновлення.

Джерела

• NVD
• Reference
• Reference