PT-2025-7395 · WordPress · Wpindeed Ultimate Learning Pro

Pham Van Tam · Publicado 2025-02-21 · Atualizado 2025-02-21 · CVE-2024-13846

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Indeed Ultimate Learning Pro para WordPress, versões até a 3.9 (inclusive)

Descrição A falha permite Injeção de SQL baseada em tempo através do parâmetro post id, devido ao escaping insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que atacantes autenticados com acesso de nível de Administrador ou superior anexem consultas SQL adicionais às consultas já existentes, potencialmente extraindo informações sensíveis do banco de dados.

Recomendações Para o plugin Indeed Ultimate Learning Pro para WordPress, versões até a 3.9 (inclusive), atualize para uma versão que corrija a falha de Injeção de SQL, pois a versão atual permite a exploração de informações sensíveis do banco de dados através do parâmetro post id. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-13846

Produtos afetados

Wpindeed Ultimate Learning Pro

Referências · 7

• https://osv.dev/vulnerability/CVE-2024-13846 · Aviso do Fabricante
• https://wordfence.com/threat-intel/vulnerabilities/id/e9ccd2cc-ee5e-40e3-905d-21884ec01f72?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-13846 · Nota de Segurança
• https://twitter.com/CVEnew/status/1892898696896864330 · Publicação no Twitter
• https://t.me/cvedetector/18650 · Publicação no Telegram
• https://codecanyon.net/item/ultimate-learning-pro-wordpress-plugin/21772657 · Nota
• https://twitter.com/VulmonFeeds/status/1892950272348983320 · Publicação no Twitter