PT-2021-16319 · WordPress · Wcfm – Frontend Manager For Woocommerce+1

Jrxnm + 1 · Publicado 2021-11-08 · Atualizado 2021-11-13 · CVE-2021-24835

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

WCFM – Frontend Manager for WooCommerce, versões anteriores à 6.5.12

Descrição:

A vulnerabilidade permite que usuários com privilégios limitados, como Assinantes, realizem ataques de injeção de SQL quando o plugin WCFM – Frontend Manager for WooCommerce é usado em combinação com outro plugin WCFM - WooCommerce Multivendor, como o WCFM - WooCommerce Multivendor Marketplace. Isso ocorre porque o parâmetro withdrawal vendor não é escapado antes de ser usado em uma instrução SQL.

Recomendações:

Para versões anteriores à 6.5.12, atualize para a versão 6.5.12 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à instrução SQL que utiliza o parâmetro withdrawal vendor até que um patch esteja disponível. Evite utilizar o parâmetro withdrawal vendor em instruções SQL até que o problema seja resolvido.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-24835

Produtos afetados

Wcfm - Woocommerce Multivendor Marketplace

Wcfm – Frontend Manager For Woocommerce

Referências · 5

• 🔥 https://wpscan.com/vulnerability/c493ac9c-67d1-48a9-be21-824b1a1d56c2 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-24835 · Nota de Segurança
• https://t.me/cibsecurity/31999 · Publicação no Telegram
• https://t.me/cvenotify/23375 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-24835 · Aviso do Fabricante