PT-2025-9149 · Woocommerce · Multilevel Referral Affiliate Plugin For Woocommerce

Oncybersec + 1 · Publicado 2025-03-01 · Atualizado 2025-03-01 · CVE-2024-13750

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Multilevel Referral Affiliate para WooCommerce versões até 2.27

Descrição A falha permite que invasores autenticados com acesso de nível de Assinante (Subscriber) ou superior injetem consultas SQL, potencialmente extraindo informações sensíveis do banco de dados. Isso ocorre devido ao escaping insuficiente no parâmetro orderby e à falta de preparação na consulta SQL existente.

Recomendações Para versões até 2.27, considere restringir o acesso ao parâmetro orderby no endpoint da API afetado até que um patch esteja disponível. Como solução temporária (workaround), restrinja o acesso ao banco de dados para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-13750

Produtos afetados

Multilevel Referral Affiliate Plugin For Woocommerce

Referências · 8

• https://wordfence.com/threat-intel/vulnerabilities/id/4389ddc9-de69-4316-9bfa-ff3bd3346c69?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-13750 · Nota de Segurança
• https://twitter.com/CVEnew/status/1895982004317143297 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3430870%40multilevel-referral-plugin-for-woocommerce&new=3430870%40multilevel-referral-plugin-for-woocommerce&sfp_email=&sfph_mail= · Nota
• https://plugins.trac.wordpress.org/browser/multilevel-referral-plugin-for-woocommerce/tags/2.27/classes/referral-program.php#L310 · Nota
• https://twitter.com/VulmonFeeds/status/1895708107214336053 · Publicação no Twitter
• https://t.me/cvedetector/19210 · Publicação no Telegram
• https://t.me/cvenotify/112961 · Publicação no Telegram