CVE-2024-6338

Plugin FV Flowplayer Video Player para o WordPress, versões até a 7.5.46.7212, inclusive

A vulnerabilidade permite que invasores autenticados com acesso de nível de Assinante ou superior realizem injeção de SQL baseada em tempo por meio do parâmetro exclude, devido à escapada insuficiente em parâmetros fornecidos pelo usuário e à falta de preparação adequada nas consultas SQL existentes. Isso permite que invasores acrescentem consultas SQL adicionais às consultas já existentes, potencialmente extraindo informações confidenciais do banco de dados.

Para versões até e incluindo a 7.5.46.7212, considere desativar o parâmetro exclude até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao banco de dados para minimizar o risco de extração de informações confidenciais. Evite usar o parâmetro exclude em consultas até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.