PT-2025-10062 · WordPress · Hero Maps Premium

Lucio Sá · Publicado 2025-03-07 · Atualizado 2025-03-08 · CVE-2024-13781

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Hero Maps Premium para WordPress versões anteriores à 2.3.9

Descrição A falha permite que atacantes autenticados com acesso de nível de Assinante (Subscriber) ou superior extraiam informações sensíveis do banco de dados devido ao escaping insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso é possível por meio de várias ações AJAX.

Recomendações Para o plugin Hero Maps Premium para WordPress versões anteriores à 2.3.9, atualize para uma versão superior à 2.3.9 para resolver o problema. Como solução temporária (workaround), considere restringir o acesso às ações AJAX para minimizar o risco de exploração.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-13781

Produtos afetados

Hero Maps Premium

Referências · 8

• https://wordfence.com/threat-intel/vulnerabilities/id/8f394209-df80-491f-b700-cc06e54ea676?source=cve · Nota
• https://twitter.com/VulmonFeeds/status/1898035361378373789 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-13781 · Nota de Segurança
• https://twitter.com/CVEnew/status/1898246398652317943 · Publicação no Twitter
• https://codecanyon.net/item/hero-maps-premium-responsive-google-maps-plugin/12577151 · Nota
• https://twitter.com/WolfgangSesin/status/1897993959864991788 · Publicação no Twitter
• https://t.me/cvetracker/18652 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-13781 · Aviso do Fabricante