CVE-2024-7150

The Slider by 10Web – plugin de galeria de imagens responsiva para o WordPress, versões até e incluindo a 1.2.57

A vulnerabilidade está relacionada a injeção de SQL baseada em tempo por meio do parâmetro id, devido à escapada insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que invasores autenticados, com acesso de nível Contribuidor ou superior, acrescentem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações confidenciais do banco de dados.

Para versões até e incluindo a 1.2.57, considere desativar o parâmetro id no plugin afetado até que um patch esteja disponível. Restrinja o acesso às funcionalidades do plugin para minimizar o risco de exploração. Evite usar o parâmetro id nos endpoints da API do plugin até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.