PT-2024-20138 · WordPress · Advanced Form Integration
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Advanced Form Integration – Plug-in para WordPress que conecta o WooCommerce e o Contact Form 7 ao Google Sheets e outras plataformas, para versões até a 1.82.0, inclusive
Descrição
A vulnerabilidade permite injeção de SQL por meio do parâmetro
integration id devido à escapada insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso possibilita que invasores não autenticados acrescentem consultas SQL adicionais às consultas já existentes e, subsequentemente, injetem scripts web arbitrários em páginas que serão executados caso consigam induzir um usuário a realizar uma ação, como clicar em um link.Recomendações
Para versões até e incluindo a 1.82.0, atualize para uma versão superior à 1.82.0 para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso ao parâmetro
integration id para minimizar o risco de exploração.Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Advanced Form Integration