CVE-2024-6028

Nome do software vulnerável e versões afetadas:

Plugin Quiz Maker para o WordPress, versões até a 6.5.8.3, inclusive

Descrição:

O problema está relacionado a uma injeção de SQL baseada em tempo através do parâmetro ays questions, devido a uma escapada insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que invasores não autenticados acrescentem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações confidenciais do banco de dados.

Recomendações:

Para versões até a 6.5.8.3, inclusive, atualize para a versão 6.5.8.4 ou superior para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao parâmetro ays questions para minimizar o risco de exploração.