PT-2025-11249 · WordPress · Analyticswp

Trương Hữu Phúc · Publicado 2025-03-14 · Atualizado 2025-03-19 · CVE-2024-13321

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Plugin AnalyticsWP para WordPress, versões até e incluindo a 2.0.0

Descrição: O problema está relacionado a uma Injeção de SQL via o parâmetro custom sql devido a verificações de autorização insuficientes na função handle get stats(). Isso permite que atacantes não autenticados anexem consultas SQL adicionais às consultas existentes, potencialmente extraindo informações sensíveis do banco de dados.

Recomendações: Para o plugin AnalyticsWP para WordPress, versões até e incluindo a 2.0.0: Como solução temporária, considere desativar a função handle get stats() até que um patch esteja disponível. Restrinja o acesso ao parâmetro custom sql para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-13321

Produtos afetados

Analyticswp

Referências · 10

• https://nvd.nist.gov/vuln/detail/CVE-2024-13321 · Nota de Segurança
• https://twitter.com/cracbot/status/1902314188246282598 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-13321 · Aviso do Fabricante
• https://analyticswp.com · Nota
• https://twitter.com/vulns_space/status/1900473021761978434 · Publicação no Twitter
• https://t.me/cvedetector/20280 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1900451497634054358 · Publicação no Twitter
• https://t.me/cvetracker/19108 · Publicação no Telegram
• https://t.me/cvenotify/114816 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/f6507318-92c0-457c-8c87-2d023428a77f?source=cve · Nota