CVE-2024-3495
KrytyczneStreszczenie
Wtyczka Country State City Dropdown CF7 dla WordPressa jest podatna na atak typu SQL Injection poprzez parametry 'cnt' i 'sid' w wersjach do 2.7.2 włącznie, z powodu niewystarczającego zabezpieczenia dostarczonych przez użytkownika parametrów oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. To umożliwia nieautoryzowanym atakującym dodawanie dodatkowych zapytań SQL do już istniejących, co może prowadzić do wyciągania wrażliwych informacji z bazy danych.
Ocena ryzyka
Organizacja może być narażona na wyciek wrażliwych danych z bazy, co może prowadzić do poważnych konsekwencji prawnych i reputacyjnych. Atakujący mogą wykorzystać tę podatność do uzyskania dostępu do poufnych informacji.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa bazy danych oraz monitorować logi w celu wykrycia potencjalnych prób ataków.
Oryginalny opis (angielski, źródło NVD)
The Country State City Dropdown CF7 plugin for WordPress is vulnerable to SQL Injection via the ‘cnt’ and 'sid' parameters in versions up to, and including, 2.7.2 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.