CVE-2023-50839: Kritische SQL-Injection-Lücke in WordPress-Plugin entdeckt

Zusammenfassung

Das WordPress-Plugin "JS Help Desk – AI-Powered Support & Ticketing System" in Version 2.8.2 ist von einer kritischen SQL-Injection-Schwachstelle betroffen. Angreifer können über einen Cookie unautorisierten Zugriff auf sensible Datenbankinhalte erlangen. Obwohl der Hersteller bereits eine Sicherheitslücke (CVE-2023-50839) behoben hatte, wurde eine zweite Angriffsmöglichkeit übersehen. Admins sollten das Plugin umgehend auf die neueste Version aktualisieren, um die Sicherheit ihrer WordPress-Installationen zu gewährleisten.

The JS Help Desk – AI-Powered Support & Ticketing System plugin for WordPress is vulnerable to SQL Injection via the 'js-support-ticket-token-tkstatus' cookie in version 2.8.2 due to an incomplete fix for CVE-2023-50839 where a second sink was left with insufficient escaping on the user supplied values and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.