LearnPress – WordPress LMS Plugin: Unauthentifizierte SQL Injection (CVE-2024-8522)

Am 11. September 2024 wurde eine kritische Sicherheitslücke (CVE-2024-8522) im LearnPress – WordPress LMS Plugin entdeckt, die alle Versionen bis einschließlich 4.2.7 betrifft. Die Schwachstelle ermöglicht eine SQL Injection über den Parameter c_only_fields des /wp-json/learnpress/v1/courses REST API Endpoints. Aufgrund unzureichender Absicherung der Benutzereingaben können Angreifer ohne Authentifizierung zusätzliche SQL-Befehle einschleusen und sensible Daten aus der Datenbank extrahieren.

Mit einem CVSS-Score von 10.0 wird diese Schwachstelle als kritisch eingestuft. Nutzer sollten dringend auf die gepatchte Version 4.2.7.1 oder höher aktualisieren, um das Risiko eines Angriffs zu minimieren. Weitere Informationen und Updates sind auf der offiziellen WordPress-Plugin-Seite von LearnPress verfügbar.

Tags :

Related Posts

Sicherheitslücke in pgAdmin: OAuth2-Authentifizierungsfehler (CVE-2024-9014)

Am 23. September 2024 wurde eine kritische Sicherheitslücke (CVE-2024-9014) in pgAdmin, Version 8.11 und älter, veröffentlicht. Die Schwachstelle betrifft die OAuth2-Authentifizierung und ermöglicht es Angreifern, möglicherweise die Client-ID und das Secret zu erlangen, was zu unautorisiertem Zugriff auf Benutzerdaten führen kann. Die Schwachstelle wurde mit einem CVSS-Score von 9.9 als kritisch eingestuft (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).

Read More

Wordpress - The Events Calendar: Unauthentifizierte SQL Injection (CVE-2024-8275) möglich

Am 24. September 2024 wurde eine kritische Sicherheitslücke (CVE-2024-8275) im WordPress-Plugin „The Events Calendar“ veröffentlicht, die bis zur Version 6.6.4 besteht. Die Schwachstelle ermöglicht eine SQL Injection über den Parameter order der Funktion tribe_has_next_event. Aufgrund unzureichender Absicherung der Benutzereingaben können Angreifer ohne Authentifizierung zusätzliche SQL-Befehle ausführen und sensible Daten aus der Datenbank extrahieren. Betroffen sind ausschließlich Websites, die die Funktion tribe_has_next_event() manuell eingebunden haben.

Read More

Authentifizierungs-Bypass in Ivanti Virtual Traffic Manager möglich

Ivanti hat Updates für den Virtual Traffic Manager (vTM) veröffentlicht, um eine kritische Sicherheitslücke zu beheben. Die Schwachstelle CVE-2024-7593 ermöglicht es einem entfernten, nicht authentifizierten Angreifer, die Authentifizierung am Admin-Panel zu umgehen und einen Administrator-Benutzer zu erstellen. Der CVSS-Score beträgt 9.8 (kritisch), und die Lücke betrifft alle vTM-Versionen außer 22.2R1 und 22.7R2.

Read More