Ni WooCommerce Custom Order Status < 1.9.7 - Subscriber+ SQL Injection

The get_query() function of the Ni WooCommerce Custom Order Status WordPress plugin before 1.9.7, used by the niwoocos_ajax AJAX action, available to all authenticated users, does not properly sanitise the sort parameter before using it in a SQL statement, leading to an SQL injection, exploitable by any authenticated users, such as subscriber

N/A

SQL命令中使用的特殊元素转义处理不恰当(SQL注入)

WordPress 插件 SQL注入漏洞

WordPress 插件是WordPress开源的一个应用插件。 WordPress插件存在SQL注入漏洞，该漏洞源于get查询()函数的倪WooCommerce定制订单状态WordPress插件1.9.7之前,niwoocos ajax使用的ajax行为,可以通过身份验证的用户,在使用前不恰当地抓紧时间排序参数在一个SQL语句,导致一个SQL注入,利用任何经过身份验证的用户。

N/A

N/A