Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en las funcionalidades bulk_action, export_full y save_slider_db en el plugin Slider para 10Web WordPress (CVE-2021-24132)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-89 Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
18/03/2021
Última modificación:
24/03/2021

Descripción

El plugin Slider para 10Web WordPress, versiones anteriores a 1.2.36, en las funcionalidades bulk_action, export_full y save_slider_db del plugin, eran vulnerables, permitiendo a un usuario muy privilegiado (Admin), o uno medio como Colaborador+ (si "Role Options" se activa para otros usuarios) para llevar a cabo ataques de inyección SQL

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:10web:slider:*:*:*:*:*:wordpress:*:* 1.2.36 (excluyendo)


Referencias a soluciones, herramientas e información