CVE-2024-1799

Versões do GamiPress até a 6.8.6, inclusive

O problema diz respeito a uma vulnerabilidade de injeção de SQL por meio do atributo achievement types do shortcode gamipress earnings. Essa vulnerabilidade se deve à escapada insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Ela permite que invasores autenticados, com acesso de nível de colaborador ou superior, acrescentem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações confidenciais do banco de dados.

Para versões até a 6.8.6, inclusive, atualize para uma versão superior à 6.8.6 para resolver o problema. Como solução temporária, considere restringir o acesso ao shortcode gamipress earnings para minimizar o risco de exploração. Evite usar o atributo achievement types no shortcode afetado até que o problema seja resolvido.