CVE-2024-6172

Nome do software vulnerável e versões afetadas:

Email Subscribers by Icegram Express – plugin de marketing por e-mail, boletins informativos e automação para WordPress e WooCommerce, versões até e incluindo a 5.7.25

Descrição:

A vulnerabilidade permite que invasores não autenticados realizem injeção de SQL baseada em tempo através do parâmetro db, devido à escapada insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que invasores acrescentem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações confidenciais do banco de dados.

Recomendações:

Para versões até e incluindo a 5.7.25, atualize para uma versão que corrija a vulnerabilidade de injeção de SQL.

Como solução temporária, considere restringir o acesso ao parâmetro db para minimizar o risco de exploração.