【漏洞预警】WordPress Popup Builder plugin SQL注入漏洞(CVE-2022-0479)

admin 2022年4月22日00:44:48安全漏洞评论21 views718字阅读2分23秒阅读模式

 01   


漏洞描述





WordPress是Wordpress基金会的一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPressPopup Builder plugin是WordPress开源的一个应用插件。WordPressPopup Builder plugin允许您创建视觉上令人惊叹的弹出消息、通知框和选择表单(专业版),它们针对最高转换率进行了优化。
4.1.1 之前的 Popup Builder WordPress 插件在所有订阅者管理仪表板的 SQL 语句中使用 sgpb-subscription-popup-id 参数之前不会对其进行清理和转义,从而导致 SQL 注入,这也可用于执行针对已登录管理员打开恶意链接的反射跨站点脚本攻击。

 02

漏洞危害


WordPressPopup Builder plugin 4.1.1 之前版本存在SQL注入漏洞,该漏洞源于所有订阅者管理仪表板的 SQL 语句中使用 sgpb-subscription-popup-id 参数之前不会对其进行清理和转义,攻击者可利用该漏洞执行非法SQL命令窃取数据库敏感数据。

 03

影响范围





WordPressPopup Builder plugin <4.1.1


04

漏洞等级

   

高危

 05

修复方案


厂商已发布了漏洞修复程序,请及时关注更新:
https://wpscan.com/vulnerability/0d2bbbaf-fbfd-4921-ba4e-684e2e77e816











END

长按识别二维码,了解更多


【漏洞预警】WordPress Popup Builder plugin SQL注入漏洞(CVE-2022-0479)


原文始发于微信公众号(易东安全研究院):【漏洞预警】WordPress Popup Builder plugin SQL注入漏洞(CVE-2022-0479)

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年4月22日00:44:48
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【漏洞预警】WordPress Popup Builder plugin SQL注入漏洞(CVE-2022-0479) http://cn-sec.com/archives/931051.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: