PT-2024-22936
CVE-2024-2954
·
Publicado
2024-03-26
·
Atualizado
2025-03-12
Descrição por
CVSS 3.1
7.2
AltaMétricasAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Plugin Action Network para WordPress, versão 1.4.3
Descrição
O problema decorre da falta de escapamento adequado no parâmetro
bulk-action fornecido pelo usuário e da preparação insuficiente da consulta SQL existente, permitindo que invasores autenticados com acesso de nível de administrador ou superior acrescentem consultas SQL adicionais às consultas já existentes. Isso pode ser usado para extrair informações confidenciais do banco de dados.Recomendações
Para a versão 1.4.3, considere desativar o parâmetro
bulk-action até que um patch esteja disponível para evitar possíveis ataques de injeção de SQL. Restrinja o acesso ao banco de dados para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾