CVE-2018-25346
WysokieStreszczenie
Wtyczka WordPress Form Maker w wersji 1.12.24 i wcześniejszych zawiera podatności na wstrzykiwanie SQL, które pozwalają uwierzytelnionym atakującym manipulować zapytaniami do bazy danych. Atakujący mogą przesyłać żądania POST z złośliwymi ładunkami SQL w parametrach name i search_labels.
Ocena ryzyka
Podatność ta może prowadzić do wycieku danych, modyfikacji danych lub eskalacji uprawnień w bazie danych WordPressa, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki Form Maker do najnowszej wersji, aby usunąć te podatności oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Oryginalny opis (angielski, źródło NVD)
WordPress Form Maker Plugin 1.12.24 and below contains SQL injection vulnerabilities that allow authenticated attackers to manipulate database queries by injecting SQL code through the FormMakerSQLMapping and generete_csv actions. Attackers can submit POST requests with malicious SQL payloads in the name and search_labels parameters to extract, modify, or escalate privileges within the WordPress database.