PT-2024-4028 · WordPress · Notificationx

Krzysztof Zając · Publicado 2024-02-26 · Atualizado 2025-05-15 · CVE-2024-1698

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas:

Plugin NotificationX para o WordPress, versões até a 2.8.2, inclusive

Descrição:

O problema está relacionado a injeção de SQL por meio do parâmetro type, devido à falta de escapamento adequado no parâmetro fornecido pelo usuário e à falta de preparação suficiente na consulta SQL existente. Isso possibilita que invasores não autenticados acrescentem consultas SQL adicionais a consultas já existentes, que podem ser usadas para extrair informações confidenciais do banco de dados. A falha poderia permitir que invasores não autenticados injetassem código malicioso e obtivessem controle total dos sites afetados. Mais de 30.000 instalações estão potencialmente afetadas.

Recomendações:

Para versões até a 2.8.2, inclusive, considere desativar o parâmetro type no endpoint da API afetado até que um patch esteja disponível. Restrinja o acesso a informações confidenciais do banco de dados para minimizar o risco de exploração. Como solução temporária, evite usar o parâmetro type na funcionalidade do plugin afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BDU:2024-04464

CVE-2024-1698

Produtos afetados

Notificationx

Referências · 24

• 🔥 https://github.com/kamranhasan/CVE-2024-1698-Exploit · Exploit
• 🔥 https://vicarius.io/vsociety/posts/decoding-the-unseen-threat-exploiting-cve-2024-1698-unauthenticated-sql-injection-in-notificationx-wordpress-plugin-from-basics-to-breach-a-comprehensive-guide-to-source-code-analysis-and-crafting-the-ultimate-exploit · Exploit
• https://wordfence.com/threat-intel/vulnerabilities/id/e110ea99-e2fa-4558-bcf3-942a35af0b91?source=cve · Nota
• https://twitter.com/Lulz_BinBash/status/1923017530957873473 · Publicação no Twitter
• https://twitter.com/cracbot/status/1762723487066603523 · Publicação no Twitter
• https://twitter.com/fridaysecurity/status/1762311855555379294 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2024-04464 · Nota de Segurança
• https://twitter.com/ksg93rd/status/1801285738807329099 · Publicação no Twitter
• https://twitter.com/whitehacklabsny/status/1772104436606743036 · Publicação no Twitter
• https://t.me/pentestingnews/44066 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3040809/notificationx/trunk/includes/Core/Database.php · Correção
• https://twitter.com/the_yellow_fall/status/1762311630862623030 · Publicação no Twitter
• https://t.me/cybersecuritytechnologies/10668 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-1698 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset/3040809/notificationx/trunk/includes/Core/Rest/Analytics.php · Correção