CVE-2025-9462

Nome do Software Vulnerável e Versões Afetadas WP2LEADS versões anteriores a 3.5.7

Descrição Atacantes autenticados com nível de acesso Assinante (Subscriber) ou superior podem realizar uma Injeção de SQL baseada em tempo. Isso ocorre porque o plugin não escapa adequadamente o parâmetro order e carece de preparação adequada da consulta SQL, permitindo a inserção de consultas adicionais para extrair informações sensíveis do banco de dados.

Recomendações Atualize o plugin para uma versão posterior à 3.5.6. Como medida de mitigação temporária, restrinja o acesso ao parâmetro order para usuários com permissões de Assinante.