CVE-2021-24402

Plugin WP iCommerce para WordPress, versões 1.1.1 e anteriores

A funcionalidade “Orders” do plugin WP iCommerce para WordPress possui um parâmetro order id que não é sanitizado, escapado ou validado antes de ser inserido em uma instrução SQL, o que leva a uma injeção de SQL. Esse recurso está disponível para usuários com privilégios limitados, como colaboradores.

Para as versões 1.1.1 e anteriores do plugin WP iCommerce para WordPress, considere desativar a funcionalidade Pedidos até que um patch esteja disponível para prevenir ataques de injeção de SQL. Restrinja o acesso ao recurso Pedidos para minimizar o risco de exploração, especialmente para usuários com privilégios limitados. Evite usar o parâmetro order id na instrução SQL afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.