CVE-2025-1321

Nome do Software Vulnerável e Versões Afetadas plugin teachPress para WordPress, versões até a 9.0.7 (inclusive)

Descrição A vulnerabilidade permite que atacantes autenticados com acesso de nível de Contribuidor ou superior realizem Injeção de SQL por meio do parâmetro order do shortcode "tpsearch". Isso se deve ao escaping insuficiente no parâmetro order fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente, possibilitando a extração de informações sensíveis do banco de dados.

Recomendações Para versões até a 9.0.7 (inclusive), atualize para uma versão que inclua a correção para este problema para prevenir ataques de Injeção de SQL. Como medida paliativa temporária, considere restringir o acesso ao shortcode "tpsearch" para usuários com acesso de nível de Contribuidor ou superior até que um patch esteja disponível. Evite utilizar o parâmetro order no shortcode "tpsearch" até que o problema seja resolvido.