La vulnerabilidad CVE-2024-8522 afecta al plugin LearnPress – WordPress LMS Plugin para WordPress, permitiendo a atacantes no autenticados realizar Inyecciones de SQL a través del parámetro ‘c_only_fields’ del endpoint /wp-json/learnpress/v1/courses en todas las versiones hasta, e incluyendo, la versión 4.2.7.
La falta de escape adecuado en el parámetro suministrado por el usuario y la preparación insuficiente en la consulta SQL existente, hace posible que atacantes no autenticados añadan consultas SQL adicionales en consultas existentes que pueden ser utilizadas para extraer información sensible de la base de datos.
Es importante actualizar el plugin LearnPress – WordPress LMS Plugin a la última versión disponible para mitigar este riesgo de seguridad. Además, se recomienda a los usuarios evitar la exposición del endpoint /wp-json/learnpress/v1/courses a usuarios no autenticados y tener precaución al interactuar con parámetros de consulta en plugins y temas de WordPress.