O WP ERP é o primeiro sistema ERP (Enterprise Resource Planning) completo através do qual você pode gerenciar simultaneamente seu site WordPress e seus negócios a partir de uma única plataforma. O WP ERP visa fornecer todos os requisitos empresariais com simplicidade. Com relatórios em tempo real e uma maneira melhor de lidar com dados de negócios, torne sua operação mais bem gerenciada, livre de erros e prepare sua empresa para o próximo salto. O WP ERP possui 3 módulos principais: RH, CRM e Contabilidade, que juntos formam um sistema ERP completo para qualquer tipo de negócio.

Visão geral da vulnerabilidade:

O módulo de Contabilidade do WordPress Plugins WP ERP <= 1.12.2 é vulnerável a Blind SQL Injection (time-based) através do parâmetro TYPE no endpoint /wp-json/erp/v1/accounting/v1/people. Esta vulnerabilidade pode levar ao acesso e modificação não autorizados de dados.

Prova de Conceito:

Endpoint Afetado: /wp-json/erp/v1/accounting/v1/people?type= Parâmetro Afetado: type payload: customer') AND (SELECT 1 FROM (SELECT SLEEP(3))x) AND ('x'='x

Recomendação

Atualize para a versão 1.12.4