CVE-2024-4443
बिजनेस डायरेक्टरी प्लगइन – वर्डप्रेस के लिए ईज़ी लिस्टिंग डायरेक्टरीज़ <= 6.4.2 - listingfields पैरामीटर के माध्यम से बिना प्रमाणीकरण के SQL इंजेक्शन
- प्रकाशित
- 22 मई 2024
- अद्यतन
- 8 अप्रैल 2026
- सीएनए असाइन करना
- Wordfence
- साक्ष्य देखे गए
- 5 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hमध्यम · अगले 30 दिन
- प्रतिशत
- 95.6%
- मॉडल दिनांक
- 21 सित॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
वर्डप्रेस के लिए बिजनेस डायरेक्टरी प्लगइन – Easy Listing Directories प्लगइन, अपने सभी संस्करणों में 6.4.2 तक (6.4.2 सहित), ‘listingfields’ पैरामीटर के माध्यम से समय-आधारित SQL इंजेक्शन के प्रति संवेदनशील है। यह उपयोगकर्ता द्वारा प्रदान किए गए पैरामीटर पर अपर्याप्त एस्केपिंग और मौजूदा SQL क्वेरी पर पर्याप्त तैयारी की कमी के कारण होता है। इससे बिना प्रमाणीकरण वाले हमलावरों के लिए मौजूदा क्वेरीज़ में अतिरिक्त SQL क्वेरीज़ जोड़ना संभव हो जाता है, जिनका उपयोग डेटाबेस से संवेदनशील जानकारी निकालने के लिए किया जा सकता है।
स्रोत
1CVE-2024-4443 Business Directory Plugin – Easy Listing Directories for WordPress <= 6.4.2 - listingfields पैरामीटर के माध्यम से बिना प्रमाणीकरण वाला SQL इंजेक्शन
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।