Слабость SQL Injection в плагине WordPress «The Events Calendar»

В плагине «The Events Calendar,» одном из популярных плагинов платформы WordPress, обнаружена серьезная уязвимость безопасности. Эта уязвимость относится к типу «SQL Injection» и зарегистрирована под названием CVE-2024-8275. Уязвимость затрагивает все версии 6.6.4 и предыдущих версий плагина. В этой статье мы расскажем о том, как работает уязвимость, ее последствия и способы защиты от нее.

Уязвимость CVE-2024-8275 вызвана параметром order в функции tribe_has_next_event плагина. Этот параметр может привести к внедрению SQL-кода, поскольку он не сможет достаточно безопасно обрабатывать ввод пользователя. То есть злоумышленник сможет через этот параметр добавить необходимые SQL-запросы и тем самым получить конфиденциальную информацию из базы данных. Для использования данной уязвимости злоумышленнику не требуется аутентификация, а это значит, что воспользоваться уязвимостью может даже незарегистрированный пользователь на сайте.

Сфера применения и последствия
Влияние этой уязвимости очень велико и может повлиять на сайты следующим образом:

  1. Влияние на конфиденциальность: злоумышленник может получить доступ к базе данных и прочитать личную информацию пользователей.
  2. Влияние на целостность: позволяет изменять существующие данные в базе данных или вводить вредоносные данные.
  3. Влияние на доступность. Это может помешать нормальной работе сайта при использовании ресурсов базового сервера.

Уязвимость имеет очень низкую сложность и может быть легко использована злоумышленником, если у него есть доступ к сети.

Для защиты от этой уязвимости рекомендуется обновить плагин Календарь событий до версии 6.6.5 или выше. В новой версии параметр order в функции tribe_has_next_event защищен из соображений безопасности. Если ваш сайт использует уязвимую версию этого плагина и не может обновиться, использование Tribe_has_next_event должно быть отключено.

Уязвимость CVE-2024-8275 затрагивает многие сайты на базе WordPress. Плагины необходимо регулярно обновлять, чтобы защититься от этой уязвимости. Разработчикам и владельцам сайтов следует следить за обновлениями безопасности и своевременно устанавливать их для предотвращения уязвимостей.

Для более подробной информации:
https://cvefeed.io/vuln/detail/CVE-2024-8275
https://cyber.vumetric.com/vulns/CVE-2024-8275/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=2024-8275

Перейти к содержимому