【漏洞预警】WordPress plugin RRatingg SQL注入漏洞（CVE-2022-0657）

 01

漏洞描述

WordPress和WordPressplugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。

5 星评级漏斗 WordPress 插件 | RRatingg 1.2.54 之前的 WordPress 插件在通过 rrtngg_delete_leads AJAX 操作在 SQL 语句中使用它们之前无法正确清理、验证和转义潜在客户 ID，该操作可供未经身份验证的用户使用，从而导致未经身份验证的 SQL 注入问题。尝试使用 sanitize_text_field() 对输入进行清理，但是此类函数并非旨在防止 SQL 注入。

 02

漏洞危害

WordPress plugin RRatingg 1.2.54之前存在SQL注入漏洞，该漏洞源于插件在通过 rrtngg_delete_leads AJAX 操作在 SQL 语句中使用它们之前无法正确清理、验证和转义潜在客户 ID，该操作可供未经身份验证的用户使用，从而导致未经身份验证的SQL注入问题。目前没有详细的漏洞细节提供。

 03

影响范围

WordPress RRatingg plugin <1.2.54

04

漏洞等级

   

高危

 06

修复方案

目前厂商已发布升级补丁以修复漏洞，补丁获取链接https://wpscan.com/vulnerability/e7fe8218-4ef5-4ef9-9850-8567c207e8e6

END

长按识别二维码，了解更多

原文始发于微信公众号（易东安全研究院）：【漏洞预警】WordPress plugin RRatingg SQL注入漏洞（CVE-2022-0657）