CVE-2024-8484

Nome do software vulnerável e versões afetadas:

Plugin REST API TO MiniProgram para versões do WordPress até a 4.7.1, inclusive

Descrição:

O problema está relacionado a injeção de SQL por meio do parâmetro order do endpoint da API “/wp-json/watch-life-net/v1/comment/getcomments”. Isso se deve à escapada insuficiente no parâmetro order fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente, permitindo que invasores não autenticados anexem consultas SQL adicionais para extrair informações confidenciais do banco de dados.

Recomendações:

Para versões até a 4.7.1, inclusive, como solução temporária, considere restringir o acesso ao endpoint da API “/wp-json/watch-life-net/v1/comment/getcomments” para minimizar o risco de exploração. Evite usar o parâmetro order neste endpoint até que o problema seja resolvido.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.