CVE-2024-10856

Versões do plugin Booking Calendar WpDevArt até a 3.2.19, inclusive

O problema é uma vulnerabilidade de injeção SQL cega baseada em tempo, por meio do parâmetro id no shortcode “wpdevart booking calendar”. Essa vulnerabilidade se deve à escapada insuficiente do parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Ela requer que a opção de tema “delete prev date” esteja habilitada, permitindo que invasores autenticados com acesso de nível de colaborador ou superior anexem consultas SQL adicionais para extrair informações confidenciais, como senhas, do banco de dados.

Para versões até a 3.2.19, inclusive, atualize para uma versão que corrija este problema.

Como solução temporária, considere desativar a opção de tema “delete prev date” até que um patch esteja disponível.

Restrinja o acesso ao shortcode “wpdevart booking calendar” para minimizar o risco de exploração.

Evite usar o parâmetro id no shortcode afetado até que o problema seja resolvido.