WordPress · Wp Erp · CVE-2024-6666
**Nome do software vulnerável e versões afetadas**
Plugin WP ERP para o WordPress, versões até a 1.13.0, inclusive
**Descrição**
O problema está relacionado à injeção de SQL por meio do parâmetro `vendor id`, devido à escapada insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que invasores autenticados, com acesso de Gerente de Contabilidade ou superior, acrescentem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações confidenciais do banco de dados.
**Recomendações**
Para versões até a 1.13.0, inclusive, considere desativar o acesso ao parâmetro `vendor id` até que um patch esteja disponível. Restrinja o acesso à funcionalidade de consulta SQL para minimizar o risco de exploração. Como solução alternativa temporária, limite os privilégios dos usuários com acesso de Gerente de Contabilidade e acima para reduzir o impacto potencial do problema.