CVE-2024-12023

Nome do Software Vulnerável e Versões Afetadas FULL – Plugin Cliente para WordPress versões 3.1.5 até 3.1.25

Descrição O problema permite que atacantes autenticados com acesso de nível de Assinante ou superior realizem Injeção de SQL via o parâmetro formId devido ao escapamento insuficiente e falta de preparação nas consultas SQL existentes. Isso pode ser usado para extrair informações sensíveis do banco de dados. A exploração só é possível quando a versão PRO do plugin está ativada, juntamente com o Elementor Pro e o Elementor CRM.

Recomendações Para as versões 3.1.5 até 3.1.25, como solução temporária, considere restringir o acesso ao parâmetro formId no endpoint da API afetado até que um patch esteja disponível. Evite usar o parâmetro formId em consultas até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.