Hyunsoo Jeong

**Nome do Software Vulnerável e Versões Afetadas** ERP: Complete HR, Accounting & CRM Suite with WooCommerce CRM Support versões anteriores a 1.17.5 **Descrição** Existe um problema onde atacantes autenticados com a função de Agente de CRM, Gerente de CRM ou privilégios de administrador do WordPress, e a capacidade `erp crm list contact`, podem realizar Injeção de SQL. Isso ocorre porque o parâmetro `erpadvancefilter` não é suficientemente escapado e a consulta SQL correspondente não é devidamente preparada. O manipulador utiliza `sanitize text field`, que permite a permanência de aspas simples, e a função `erp crm contact advance filter()` interpola esse valor diretamente em uma cláusula SQL WHERE entre aspas simples, executada via `$wpdb->get results()`. Isso permite que atacantes anexem consultas SQL adicionais para extrair informações sensíveis do banco de dados. **Recomendações** Atualize para uma versão posterior à 1.17.4. Como mitigação temporária, restrinja o acesso ao parâmetro `erpadvancefilter` para usuários com a função de Agente de CRM.