CVE-2026-11360

Nome do Software Vulnerável e Versões Afetadas Advanced Order Export For WooCommerce versões anteriores a 4.0.11

Description O plugin Advanced Order Export For WooCommerce para WordPress contém uma falha de SQL Injection genérica. Este problema surge devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação adequada da consulta SQL. Atacantes autenticados com nível de acesso de gerente de loja ou superior podem anexar consultas SQL adicionais para extrair informações sensíveis do banco de dados. A exploração requer um woe nonce válido e capacidades específicas, como view woocommerce reports ou export woocommerce orders. A vulnerabilidade é facilitada pelo uso da função stripslashes deep(), que remove a proteção wp magic quotes e permite que caracteres de aspas e barras invertidas permaneçam intactos no contexto SQL. O parâmetro afetado é sort direction.

Recommendations Atualize o plugin para uma versão posterior a 4.0.10. Como medida paliativa temporária, restrinja o acesso ao parâmetro sort direction para usuários sem privilégios administrativos.