CVE-2025-2221

Nome do Software Vulnerável e Versões Afetadas: Plugin WPCOM Member para WordPress versões até e incluindo a 1.7.6

Descrição: O problema está relacionado a uma Injeção de SQL baseada em tempo via o parâmetro user phone, devido ao escape insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que atacantes não autenticados anexem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações sensíveis do banco de dados.

Recomendações: Para versões até e incluindo a 1.7.6, atualize para uma versão que corrija a vulnerabilidade de Injeção de SQL. Como solução alternativa temporária, considere restringir o acesso ao parâmetro user phone para minimizar o risco de exploração.