CVE-2024-3211

O plugin Shopping Cart & eCommerce Store para o WordPress, em versões até a 5.6.3, inclusive

O problema decorre da falta de escapamento no atributo productid fornecido pelo usuário no shortcode ec addtocart e da falta de preparação adequada na consulta SQL existente, possibilitando que invasores autenticados com acesso de nível de colaborador ou superior acrescentem consultas SQL adicionais às consultas já existentes. Isso pode ser usado para extrair informações confidenciais do banco de dados.

Para versões até a 5.6.3, inclusive, atualize para uma versão que inclua uma correção para este problema a fim de evitar ataques de injeção de SQL.

Como solução temporária, considere restringir o acesso ao shortcode ec addtocart para usuários com acesso de nível de colaborador ou superior até que um patch esteja disponível.