CVE-2022-51021: Injeção SQL não autenticada no plugin NotificationX
O plugin NotificationX para WordPress (versões 2.0.0 a 2.3.11) contém uma vulnerabilidade de SQL injection que pode ser explorada sem autenticação. O atacante pode enviar um parâmetro id[1] malicioso via endpoint REST /wp-json/notificationx/v1/notification/{id} e obter acesso ao banco de dados. A falha tem pontuação CVSS 8.2, classificada como alta, e já foi observada em exploração real. O risco inclui divulgação de dados sensíveis e possível comprometimento do servidor WordPress. A prioridade de mitigação é alta devido ao vetor remoto e à ausência de requisitos de credenciais.
A informação provém da NVD com CVSS 8.2 e evidência de exploração real, mas não há confirmação adicional de EPSS ou inclusão no CISA KEV, resultando em confiança média.
O que aconteceu
Um invasor remoto envia um array‑form id[1] contendo payload SQL (ex.: SLEEP) ao endpoint REST do plugin NotificationX. O parâmetro é passado sem sanitização para Database::get_where_query, permitindo a execução de comandos SQL arbitrários. A exploração foi detectada pela Shadowserver Foundation em 18/10/2023. CVSS 8.2 indica alta gravidade; EPSS não foi informado, mas a presença de exploração confirmada eleva o risco prático.
Por que isso importa
A injeção SQL pode expor tabelas, credenciais e configurações do site WordPress, facilitando escalonamento de privilégios ou instalação de backdoors. Organizações que dependem de WordPress para sites corporativos ou infraestrutura crítica podem sofrer perda de confidencialidade, integridade e disponibilidade. A exploração remota sem necessidade de credenciais aumenta a superfície de ataque.
Quem está em risco
Sites WordPress que utilizam o plugin NotificationX versão 2.0.0 a 2.3.11, especialmente em ambientes corporativos e de infraestrutura global.
Detalhes técnicos
Vetor de ataque: requisição HTTP ao endpoint REST /wp-json/notificationx/v1/notification/{id}. Complexidade: baixa (exploits públicos). Privilégios exigidos: nenhum. Interação do usuário: nenhuma. Técnica MITRE ATT&CK: T1190 (Exploit Public-Facing Application) e T1059.001 (Command Injection – SQL). O parâmetro id[1] é inserido diretamente na consulta SQL, permitindo manipulação de consultas e extração de dados.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize o plugin NotificationX para a versão 2.3.12 ou superior imediatamente
- 2
Caso a atualização não seja viável, bloqueie o endpoint /wp-json/notificationx/v1/notification/* via WAF ou regras de firewall
- 3
Revise e limite permissões de banco de dados usadas pelo plugin; aplique princípios de menor privilégio
Sugestões de detecção
- ›
Analise logs de acesso do servidor web (access.log) procurando requisições GET/POST para /wp-json/notificationx/v1/notification/ contendo "id[" ou padrões de SQL como "SLEEP"
- ›
Monitore logs de consultas do banco de dados (ex.: slow query log do MySQL) em busca de instruções que incluam "SLEEP" ou cláusulas WHERE incomuns originadas do plugin NotificationX
Falsos positivos
Não há dados suficientes para avaliar falsos positivos.