CVE-2021-25030

Versões do plugin Events Made Easy para WordPress anteriores à 2.2.36

O problema diz respeito ao plugin Events Made Easy para WordPress, que não sanitiza e escapa adequadamente o parâmetro search text antes de usá-lo em uma instrução SQL por meio da ação AJAX “eme searchmail”. Essa ação está disponível para qualquer usuário autenticado, permitindo que mesmo aqueles com uma função tão baixa quanto a de assinante realizem ataques de injeção de SQL.

Para versões anteriores à 2.2.36, atualize para a versão 2.2.36 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à ação AJAX “eme searchmail” para impedir a exploração. Evite usar o parâmetro search text no endpoint AJAX afetado até que o problema seja resolvido.