CVE-2024-1514

Plugin WP eCommerce para o WordPress, versões até a 3.15.1, inclusive

O problema está relacionado a uma injeção SQL cega baseada em tempo através do parâmetro cart contents, devido à escapada insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que invasores não autenticados acrescentem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações confidenciais do banco de dados.

Para versões até a 3.15.1, inclusive, considere desativar o parâmetro cart contents até que um patch esteja disponível para impedir a exploração. Restrinja o acesso a informações confidenciais do banco de dados para minimizar o risco de extração de dados. Atualize para uma versão que inclua uma correção para este problema assim que estiver disponível.