CVE-2024-6166

Nome do software vulnerável e versões afetadas:

O plugin Unlimited Elements For Elementor para versões do WordPress até a 1.5.112, inclusive

Descrição:

A vulnerabilidade está relacionada a injeção de SQL baseada em tempo por meio do parâmetro addons order, devido à escapada insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que invasores autenticados, com acesso de nível Contribuidor ou superior e permissões de edição de configurações do plugin concedidas por um administrador, acrescentem consultas SQL adicionais a consultas já existentes, que podem ser usadas para extrair informações confidenciais do banco de dados.

Recomendações:

Para versões até e incluindo a 1.5.112, considere desativar o parâmetro addons order até que um patch esteja disponível para impedir a exploração. Restrinja o acesso às permissões de edição de configurações do plugin para minimizar o risco de exploração. Evite usar o parâmetro addons order no plugin afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.