WP ERP es el primer sistema ERP (Enterprise Resource Planning) completo a través del cual puedes gestionar simultáneamente tu sitio WordPress y tu negocio desde una única plataforma. WP ERP tiene como objetivo satisfacer todos los requisitos empresariales con simplicidad. Con informes en tiempo real y una mejor manera de manejar los datos del negocio, haz que tu operación esté mejor gestionada, libre de errores y prepara tu empresa para el próximo salto. WP ERP tiene 3 módulos principales: HR, CRM y Contabilidad, que juntos forman un sistema ERP completo para cualquier tipo de negocio.

Resumen de la vulnerabilidad:

El módulo Accounting de WP ERP <= 1.12.2 de los Plugins de WordPress es vulnerable a Inyección SQL Ciega (basada en tiempo) a través del parámetro TYPE en el endpoint /wp-json/erp/v1/accounting/v1/people. Esta vulnerabilidad podría llevar a acceso y modificación no autorizados de datos.

Prueba de concepto:

Endpoint afectado: /wp-json/erp/v1/accounting/v1/people?type= Parámetro afectado: type payload: customer') AND (SELECT 1 FROM (SELECT SLEEP(3))x) AND ('x'='x

Recomendación

Actualizar a la versión 1.12.4