CVE-2021-32789
Произвольный SQL (SQL-инъекция) возможен через компонент Store API.
- Опубликовано
- 26 июл. 2021 г.
- Обновлено
- 3 авг. 2024 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 5 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NСредний · следующие 30 дней
- Процентиль
- 97,1 %
- Дата модели
- 18 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
woocommerce-gutenberg-products-block — это функциональный плагин для WooCommerce Gutenberg Blocks. Уязвимость SQL-инъекции затрагивает все сайты WooCommerce, работающие с функциональным плагином WooCommerce Blocks, начиная с версии 2.5.0 и до версии 2.5.16. С помощью специально сформированного URL-адреса можно выполнить эксплойт против конечной точки `wc/store/products/collection-data?calculate_attribute_counts[][taxonomy]`, что позволяет выполнить SQL-запрос только для чтения. Для многих версий этого пакета доступны исправления, начиная с версии 2.5.16. Известных обходных путей, кроме обновления, не существует.
Источники
http/cves/2021/CVE-2021-32789.yaml
Nuclei TemplatesЗаявленные условия
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- CVE-2021-32789Эксплойт
Аутентифицированная слепая SQL-инъекция. Плагин Wordpress woocommerce версии >= 2.5.0
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.