CVE-2024-8624

Nome do software vulnerável e versões afetadas:

MDTF – plugin Meta Data and Taxonomies Filter para versões do WordPress até a 1.3.3.3, inclusive

Descrição:

O problema está relacionado a injeção de SQL por meio do atributo meta key do shortcode mdf select title. Isso se deve à escapada insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Invasores autenticados com acesso de nível Contribuidor ou superior podem anexar consultas SQL adicionais às consultas já existentes para extrair informações confidenciais do banco de dados.

Recomendações:

Para o plugin MDTF – Meta Data and Taxonomies Filter para versões do WordPress até e incluindo a 1.3.3.3, atualize para a versão 1.3.3.4 para proteger dados confidenciais. Como solução temporária, considere restringir o acesso ao shortcode mdf select title para minimizar o risco de exploração. Evite usar o atributo meta key no shortcode afetado até que o problema seja resolvido.