Analytical use of cookies
Уразливість SQL-ін'єкції в плагіні MotoPress Appointment Booking для WordPress
Виявлено SQL-ін'єкцію в плагіні MotoPress Appointment Booking для WordPress, що дозволяє витік даних через роль mpa_appointment_employee.
- CVSS
- 6.5 MEDIUM
- EPSS
- 17.71%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін MotoPress Appointment Booking для WordPress містить уразливість SQL-ін'єкції через параметр 's' у версіях до 2.4.5 включно. Аутентифіковані користувачі з роллю mpa_appointment_employee можуть додавати шкідливі SQL-запити для витягання конфіденційної інформації з бази даних.
Бізнес-вплив
Ця уразливість дозволяє користувачам з певною роллю виконувати несанкціоновані SQL-запити, що може призвести до витоку чутливих даних і порушення цілісності бази даних. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією інформації та потенційними збоями в роботі сервісу.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити призначення ролі mpa_appointment_employee лише довіреним користувачам, зменшити експозицію сервісу, провести аудит логів на предмет підозрілої активності та пріоритезувати виправлення цієї уразливості.