CVE-2024-1893

Plugin Easy Property Listings para o WordPress, versões até a 3.5.2, inclusive

A vulnerabilidade está relacionada a uma injeção de SQL baseada em tempo por meio do atributo do shortcode property status. Isso se deve à falta de escapamento adequado no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Intrusos autenticados com acesso de colaborador ou superior podem anexar consultas SQL adicionais às consultas já existentes para extrair informações confidenciais do banco de dados.

Para versões até a 3.5.2, inclusive, atualize para uma versão superior à 3.5.2 para resolver o problema.

Como solução temporária, considere restringir o acesso ao atributo do shortcode property status até que um patch esteja disponível.