CVE-2024-11179

Plugin MStore API – Create Native Android & iOS Apps On The Cloud para o WordPress, versões até a 4.15.7, inclusive

A vulnerabilidade está relacionada a injeção de SQL por meio do parâmetro status type, devido à escapada insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que invasores autenticados, com acesso de nível de Assinante ou superior, acrescentem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações confidenciais do banco de dados.

Para versões até e incluindo a 4.15.7, considere desativar o parâmetro status type até que um patch esteja disponível para prevenir possíveis ataques de injeção de SQL. Restrinja o acesso ao banco de dados para minimizar o risco de exploração. Evite usar o parâmetro status type nos endpoints de API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.