PT-2025-1624 · WordPress · Eventer

István Márton · CVE-2024-11135 · Publicado 2025-01-28 · Atualizado 2025-01-30

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Eventer para WordPress, versões até e incluindo a 3.9.8

Descrição O problema refere-se a uma vulnerabilidade de injeção de SQL via o parâmetro event na função eventer get attendees. Esta vulnerabilidade deve-se ao escapamento insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Como resultado, atacantes não autenticados podem anexar consultas SQL adicionais às existentes, potencialmente extraindo informações sensíveis do banco de dados.

Recomendações Para versões até e incluindo a 3.9.8, atualize para uma versão superior à 3.9.8 para resolver o problema. Como medida temporária, considere restringir o acesso à função eventer get attendees até que um patch esteja disponível. Evite usar o parâmetro event na função afetada até que o problema seja resolvido.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-11135

Produtos afetados

Eventer

Referências · 9

• https://t.me/cvenotify/108838 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/a8dc0712-f78e-46c5-a0d1-2db752498d54?source=cve · Nota
• https://osv.dev/vulnerability/CVE-2024-11135 · Aviso do Fabricante
• https://codecanyon.net/item/eventer-wordpress-event-manager-plugin/20972534 · Nota
• https://twitter.com/CVEnew/status/1884183317131788435 · Publicação no Twitter
• https://t.me/cvenotify/109235 · Publicação no Telegram
• https://t.me/cvedetector/16584 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1884131458693890115 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-11135 · Nota de Segurança