W wtyczce Ally dla WordPressa wykryto poważną lukę SQL injection (CVE-2026-2413), która dotyczy ponad 400 000 instalacji.
Luka pozwala nieuwierzytelnionym atakującym wydobywać poufne dane z baz danych WordPressa.
Co się stało?
Problem wynika z nieprawidłowego oczyszczania danych wejściowych w krytycznej funkcji, co umożliwia atakującym wstrzykiwanie złośliwych zapytań SQL za pomocą parametru URL.
W przypadku wykorzystania luki atakujący mogliby przeprowadzić czasowy ślepy atak SQL injection (time-based blind), aby pozyskać wrażliwe informacje.
Kogo to dotyczy?
• Wszystkich wersji wtyczki Ally do 4.0.3 włącznie
• Luka jest możliwa do wykorzystania po połączeniu z kontem Elementor z włączonym modułem Remediation
Obecnie tylko ~36% witryn zainstalowało poprawkę, co pozostawia ponad 250 000 narażonych stron internetowych.
Zalecane działania
• Niezwłocznie zaktualizuj wtyczkę Ally do wersji 4.1.0
• Zainstaluj najnowszą aktualizację zabezpieczeń WordPressa (6.9.2)
• Przejrzyj logi bazy danych pod kątem podejrzanych zapytań
Nawet po 25 latach SQL injection pozostaje jedną z najczęstszych i najgroźniejszych podatności aplikacji webowych.
