WordPress · Joomsport – For Sports: Team & League · CVE-2022-2718
**Nome do software vulnerável e versões afetadas**
JoomSport – plugin para WordPress “for Sports: Team & League, Football, Hockey & more” para versões até a 5.2.5, inclusive
**Descrição**
A vulnerabilidade permite que invasores autenticados com privilégios administrativos realizem injeção de SQL por meio do parâmetro `orderby` na página “joomsport-page-extrafields”. Isso ocorre devido à falta de escapamento adequado no parâmetro fornecido pelo usuário e à preparação insuficiente da consulta SQL existente, possibilitando a extração de informações confidenciais do banco de dados.
**Recomendações**
Para versões até a 5.2.5, inclusive, considere desativar o acesso à página “joomsport-page-extrafields” ou restringir o uso do parâmetro `orderby` até que um patch esteja disponível. Como solução temporária, restrinja os privilégios administrativos para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.