CVE-2024-2804
CriticalSummary
Wtyczka Network Summary dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'category' we wszystkich wersjach do 2.0.11 włącznie, z powodu niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to nieautoryzowanym atakującym dodawanie dodatkowych zapytań SQL do już istniejących zapytań.
Risk Assessment
Atakujący mogą wykorzystać tę podatność do wyciągania wrażliwych informacji z bazy danych, co może prowadzić do poważnych naruszeń bezpieczeństwa danych organizacji.
Recommendation
Zaleca się aktualizację wtyczki do najnowszej wersji oraz przegląd i poprawę zabezpieczeń zapytań SQL w aplikacji, aby zminimalizować ryzyko ataków typu SQL Injection.
Original NVD description (English source)
The Network Summary plugin for WordPress is vulnerable to SQL Injection via the 'category' parameter in all versions up to, and including, 2.0.11 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.