LearnPress – WordPress LMS Plugin: Unauthentifizierte SQL Injection (CVE-2024-8522)

Am 11. September 2024 wurde eine kritische Sicherheitslücke (CVE-2024-8522) im LearnPress – WordPress LMS Plugin entdeckt, die alle Versionen bis einschließlich 4.2.7 betrifft. Die Schwachstelle ermöglicht eine SQL Injection über den Parameter c_only_fields des /wp-json/learnpress/v1/courses REST API Endpoints. Aufgrund unzureichender Absicherung der Benutzereingaben können Angreifer ohne Authentifizierung zusätzliche SQL-Befehle einschleusen und sensible Daten aus der Datenbank extrahieren.

Mit einem CVSS-Score von 10.0 wird diese Schwachstelle als kritisch eingestuft. Nutzer sollten dringend auf die gepatchte Version 4.2.7.1 oder höher aktualisieren, um das Risiko eines Angriffs zu minimieren. Weitere Informationen und Updates sind auf der offiziellen WordPress-Plugin-Seite von LearnPress verfügbar.

Tags :

Related Posts

Kritische Sicherheitslücken in Pure Storage FlashArray und FlashBlade

Pure Storage hat mehrere kritische Sicherheitslücken in den Purity-Versionen von FlashArray und FlashBlade identifiziert. Die Schwachstellen betreffen insbesondere die FlashArray Purity-Versionen 6.3 bis 6.4, während FlashBlade von den meisten Sicherheitslücken nicht betroffen ist. Die schwerwiegendsten Schwachstellen (CVE-2024-0001 und CVE-2024-0002) ermöglichen es Angreifern, erhöhte Privilegien zu erlangen oder remote auf das Array zuzugreifen. Beide Schwachstellen haben einen CVSS-Score von 10.0, was sie als kritisch einstuft.

Read More

TeamViewer Remote Privilegien-Eskalation Lücke erfordert sofortiges patchen

Am 25. September 2024 wurden 2 Sicherheitslücken (CVE-2024-7479, CVE-2024-7481) in den TeamViewer Remote Clients und Host-Versionen für Windows veröffentlicht, die eine lokale Privilegieneskalation ermöglicht. Die Schwachstellen, die durch eine fehlerhafte Überprüfung der kryptografischen Signatur in der TeamViewer_service.exe-Komponente verursacht wird, erlaubt es Angreifern mit lokalem Zugang, Treiber auf dem betroffenen System zu installieren und erhöhte Rechte zu erlangen.

Read More

Authentifizierungs-Bypass in Ivanti Virtual Traffic Manager möglich

Ivanti hat Updates für den Virtual Traffic Manager (vTM) veröffentlicht, um eine kritische Sicherheitslücke zu beheben. Die Schwachstelle CVE-2024-7593 ermöglicht es einem entfernten, nicht authentifizierten Angreifer, die Authentifizierung am Admin-Panel zu umgehen und einen Administrator-Benutzer zu erstellen. Der CVSS-Score beträgt 9.8 (kritisch), und die Lücke betrifft alle vTM-Versionen außer 22.2R1 und 22.7R2.

Read More