PT-2025-10057 · WordPress · School Management System

Khayal Farzaliyev + 1 · Publicado 2025-03-07 · Atualizado 2025-03-08 · CVE-2024-12609

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do plugin School Management System for Wordpress até, e incluindo, a 92.0.0

Descrição O problema surge devido ao escapamento insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente na função mj smgt view student attendance(), especificamente na página 'view-attendance'. Isso permite que atacantes autenticados com acesso de nível de Aluno ou superior anexem consultas SQL adicionais às consultas já existentes, potencialmente extraindo informações sensíveis do banco de dados.

Recomendações Para as versões do plugin School Management System for Wordpress até, e incluindo, a 92.0.0, considere restringir o acesso à página 'view-attendance' até que uma correção esteja disponível, e limite o uso da função mj smgt view student attendance() para prevenir potenciais ataques de injeção de SQL.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-12609

Produtos afetados

School Management System

Referências · 9

• https://t.me/cvetracker/18647 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/a8790df5-7228-4854-870c-1e6d3d0cfbaa?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-12609 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-12609 · Aviso do Fabricante
• https://twitter.com/WolfgangSesin/status/1897998311400911105 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1898246396089700575 · Publicação no Twitter
• https://t.me/cvenotify/113800 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1898045600500719948 · Publicação no Twitter
• https://codecanyon.net/item/school-management-system-for-wordpress/11470032 · Nota