Cryptocurrency Widgets Pack WordPress plugin 存在 sql 注入漏洞

漏洞描述

Cryptocurrency Widgets Pack 是 Wordpress 的一款开源插件（现已停止维护）。

Cryptocurrency Widgets Pack 1.8.1 即之前版本中的 admin-ajax.php 在进行 Ajax 操作时未对 sql 查询参数进行过滤，未经身份验证的远程攻击者可向 wp-admin/admin-ajax.php 端点发送恶意请求进行 sql 注入，进而获取 WordPress 站点数据库信息。

漏洞名称	Cryptocurrency Widgets Pack WordPress plugin 存在 sql 注入漏洞
漏洞类型	SQL注入
发现时间	2023-01-03
漏洞影响广度	极小
MPS编号	MPS-2022-64718
CVE编号	CVE-2022-4059
CNVD编号	-

影响范围

Cryptocurrency Widgets Pack@(-∞, 1.8.1]

修复方案

Cryptocurrency Widgets Pack 已停止维护，建议更换其它类似组件

参考链接

https://www.oscs1024.com/hd/MPS-2022-64718

https://nvd.nist.gov/vuln/detail/CVE-2022-4059

https://wpscan.com/vulnerability/d94bb664-261a-4f3f-8cc3-a2db8230895d

    

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc