CVE-2024-6457

Nome do software vulnerável e versões afetadas:

HUSKY – Plugin Products Filter Professional para WooCommerce para versões do WordPress até a 1.3.6, inclusive

Descrição:

O problema está relacionado a uma vulnerabilidade de injeção de SQL baseada em tempo por meio do parâmetro woof author. Essa vulnerabilidade é causada por escape insuficiente no parâmetro fornecido pelo usuário e pela falta de preparação adequada na consulta SQL existente. Ela permite que invasores não autenticados acrescentem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações confidenciais do banco de dados. O número estimado de dispositivos potencialmente afetados em todo o mundo é superior a 100.000 lojas WooCommerce.

Recomendações:

Para versões até a 1.3.6, inclusive, atualize para uma versão que corrija este problema.

Como solução temporária, considere restringir o acesso ao parâmetro woof author até que um patch esteja disponível.

Evite usar o parâmetro woof author em consultas confidenciais até que o problema seja resolvido.