CVE-2026-8443

Nome do Software Vulnerável e Versões Afetadas WP Review Slider Pro versões anteriores a 12.6.9

Descrição Atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior podem realizar Injeção de SQL através dos parâmetros 'stypes' e 'slocations' da ação AJAX 'wppro get overall chart data'. O problema ocorre porque a função stripslashes() é utilizada em strings JSON fornecidas pelo usuário antes do json decode(), removendo o escape fornecido pelo wp magic quotes. Os valores decodificados são então concatenados diretamente em cláusulas SQL WHERE e executados via $wpdb->get results() sem a utilização de $wpdb->prepare(), que é o método padrão para parametrização de consultas para evitar injeções. Isso permite que atacantes anexem consultas SQL maliciosas para extrair informações sensíveis do banco de dados. Além disso, o manipulador retorna a string SQL executada em sua resposta JSON, facilitando a exploração cega ao simplificar a construção de oráculos (uma técnica usada para inferir dados observando a resposta da aplicação a consultas específicas).

Recomendações Atualize para uma versão posterior a 12.6.8. Como medida paliativa temporária, restrinja o acesso à ação AJAX 'wppro get overall chart data' para usuários com permissões de Assinante.