Clockinator Liteに認証不要のSQLi脆弱性、修正版あり
Summary
WordPressプラグインのClockinator Lite 1.1.0未満に、認証なしでデータの削除や抜き取りができるSQLインジェクションの脆弱性が見つかりました。使っているサイトは1.1.0へ更新し、更新が済むまではプラグインの停止も検討してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
WordPressプラグインのClockinator Lite 1.1.0未満に、認証なしでデータの削除や抜き取りができるSQLインジェクションの脆弱性が見つかりました。使っているサイトは1.1.0へ更新し、更新が済むまではプラグインの停止も検討してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| CVE の記録Clockinator Lite |
< 1.1.0→ 1.1.0 |
1.1.0 |
Original description The description as published by the source.
The Clockinator Lite WordPress plugin before 1.1.0 does not restrict access to several of its record deletion actions, and uses a user-supplied table name in a SQL query without validating or escaping it, allowing unauthenticated users to perform SQL injection attacks, deleting data from any database table and extracting sensitive information such as password hashes.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com