CVE-2024-12195

Nome do Software Vulnerável e Versões Afetadas Versões do plugin WP Project Manager até e incluindo a 2.6.16

Descrição O plugin WP Project Manager para WordPress é vulnerável a Injeção de SQL via o parâmetro project id do endpoint da API REST "/wp-json/pm/v2/projects/2/task-lists". Esta vulnerabilidade deve-se ao escape insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Atacantes autenticados, que possuem acesso concedido a um projeto, podem anexar consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações sensíveis do banco de dados.

Recomendações Para as versões do plugin WP Project Manager até e incluindo a 2.6.16, atualize para uma versão superior à 2.6.16 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint da API "/wp-json/pm/v2/projects/2/task-lists" até que um patch esteja disponível. Evite utilizar o parâmetro project id no endpoint da API afetado até que o problema seja resolvido.