Eksploitasi PoC Dirilis Untuk Bug Kritis pada Plugin WordPress
Tiga plugin WordPress populer dengan puluhan ribu instalasi aktif rentan terhadap kerentanan injeksi SQL dengan tingkat keparahan tinggi atau kritis, dengan eksploitasi proof-of-concept sekarang tersedia untuk umum. Bergantung pada kode situs web yang rentan terhadap kerentanan injeksi SQL, penyerang dapat mengubah atau menghapus data ke situs, memasukan skrip berbahaya, atau mendapatkan akses penuh ke situs web. Tiga plugin yang rentan ditemukan oleh peneliti keamanan Tenable Joshua Martinelle, yang melaporkannya secara bertanggung jawab ke WordPress pada 19 Desember 2022, bersama dengan proof of concept (PoC). Pembuat plugin merilis pembaruan keamanan untuk mengatasi masalah di hari atau minggu berikutnya, jadi semua masalah telah diperbaiki sekarang, dan yang menjalankan versi terbaru yang tersedia tidak lagi rentan. Plugin pertama yang diketahui rentan terhadap injeksi SQL adalah ‘Paid Memberships Pro’, alat manajemen keanggotaan dan langganan yang digunakan di lebih dari 100.000 situs web. Kerentanan dilacak sebagai CVE-2023-23488, menerima peringkat keparahan CVSSv3 9,8 (kritis), dan memengaruhi semua versi plugin yang lebih lama dari 2.9.8. Plugin ‘Paid Memberships Pro’ memperbaiki kerentanan pada 27 Desember 2022, dengan rilis versi 2.9.8.
