CVE-2024-3495

Plugin Country State City Dropdown CF7 para o WordPress, versões até e incluindo a 2.7.2

O plugin Country State City Dropdown CF7 para WordPress é suscetível a injeção de SQL por meio dos parâmetros cnt e sid. A validação insuficiente de entradas e a preparação inadequada de consultas SQL permitem que invasores não autenticados injetem consultas SQL adicionais em consultas existentes ao banco de dados. Isso pode levar à extração de informações confidenciais do banco de dados. Aproximadamente 4.000 instâncias desse plugin foram encontradas online, com algumas instalações datando de quase um ano atrás. A exploração envolve o envio de solicitações manipuladas para o endpoint /wp-admin/admin-ajax.php com cargas maliciosas no parâmetro cnt, utilizando um valor nonce válido. A ação tc csca get states é utilizada no processo de exploração.

As versões até e incluindo a 2.7.2 devem ser atualizadas para uma versão mais recente e segura assim que estiver disponível. Como solução temporária, considere desativar o plugin até que um patch esteja disponível.