CVE-2024-13477

Nome do Software Vulnerável e Versões Afetadas Plugin LTL Freight Quotes – Unishippers Edition para WordPress, versões até e incluindo a 2.5.8

Descrição A questão está relacionada a uma Injeção de SQL através do parâmetro edit id, devido ao escape insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que atacantes não autenticados anexem consultas SQL adicionais às consultas já existentes, o que pode ser utilizado para extrair informações sensíveis do banco de dados.

Recomendações Para versões até e incluindo a 2.5.8, considere desativar o parâmetro edit id até que um patch esteja disponível para prevenir ataques de Injeção de SQL. Restrinja o acesso a informações sensíveis do banco de dados para minimizar o risco de exploração. Evite usar o parâmetro edit id em consultas existentes até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.