CVE-2024-3342
KrytyczneStreszczenie
Wtyczka Timetable and Event Schedule autorstwa MotoPress dla WordPressa jest podatna na atak typu SQL Injection poprzez atrybut 'events' w skrócie 'mp-timetable' we wszystkich wersjach do 2.4.11 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.
Ocena ryzyka
Atakujący z poziomem dostępu co najmniej 'contributor' może dodawać dodatkowe zapytania SQL do istniejących, co umożliwia wydobycie wrażliwych informacji z bazy danych. To stwarza poważne ryzyko dla bezpieczeństwa danych organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt zabezpieczeń bazy danych oraz ograniczyć dostęp do wtyczki tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Timetable and Event Schedule by MotoPress plugin for WordPress is vulnerable to SQL Injection via the 'events' attribute of the 'mp-timetable' shortcode in all versions up to, and including, 2.4.11 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with contributor-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.