PT-2024-17214 · WordPress · Bookingpress

Khayal Farzaliyev + 1 · Publicado 2024-12-24 · Atualizado 2024-12-24 · CVE-2024-11726

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin BookingPress para o WordPress, versões até a 1.1.21, inclusive

Descrição

O problema está relacionado a injeção de SQL por meio do parâmetro category do shortcode ‘bookingpress form’. Isso se deve à escapada insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Invasores autenticados com acesso de nível Contribuidor ou superior podem anexar consultas SQL adicionais às consultas já existentes para extrair informações confidenciais do banco de dados.

Recomendações

Para versões até e incluindo a 1.1.21, considere desativar o shortcode bookingpress form até que um patch esteja disponível. Restrinja o acesso ao parâmetro category para minimizar o risco de exploração. Evite usar o parâmetro category no shortcode afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-11726

Produtos afetados

Bookingpress

Referências · 7

• https://twitter.com/CVEnew/status/1871520395137876329 · Publicação no Twitter
• https://t.me/cvedetector/13583 · Publicação no Telegram
• https://t.me/cvenotify/105378 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1871523721493553389 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-11726 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/6d081b89-1b98-4f4f-8728-d1ea676d7afd?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset/3206780/bookingpress-appointment-booking/trunk/core/classes/frontend/class.bookingpress_appointment_bookings.php · Nota