CVE-2016-20072

Nome do Software Vulnerável e Versões Afetadas BBS e-Franchise versões anteriores a 1.1.4

Descrição Um problema de SQL injection existe devido à escape insuficiente de entrada fornecida pelo usuário e falta de preparação adequada de consultas SQL. Atacantes não autenticados podem executar consultas SQL arbitrárias injetando código malicioso através do parâmetro uid em páginas que utilizam o shortcode do plugin. Isso permite o uso de SQL injection baseada em UNION para extrair dados sensíveis do banco de dados, como informações de usuários e termos de taxonomia.

Recomendações Atualize para uma versão posterior à 1.1.3. Como medida paliativa temporária, restrinja o acesso ao parâmetro uid até que a atualização seja aplicada.