CVE-2024-1118

Plugin “Podlove Subscribe Button” para o WordPress, versões até a 1.3.10, inclusive

O problema está relacionado a uma vulnerabilidade de injeção de SQL baseada em UNION por meio do atributo button do shortcode podlove-subscribe-button. Essa vulnerabilidade é causada por escape insuficiente no parâmetro fornecido pelo usuário e pela falta de preparação adequada na consulta SQL existente. Como resultado, invasores autenticados com acesso de nível de colaborador ou superior podem anexar consultas SQL adicionais às consultas já existentes, potencialmente extraindo informações confidenciais do banco de dados.

Para versões até e incluindo a 1.3.10, atualize para uma versão posterior à 1.3.10 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao shortcode podlove-subscribe-button para minimizar o risco de exploração.