Resumo: O plugin SaveTo Wishlist Lite, usado para criar listas de desejos em lojas WooCommerce, não sanitiza nem escapa parâmetros usados na cláusula ORDER BY de uma consulta SQL em versões anteriores à 1.1.5. Com isso, um visitante sem login pode anexar consultas adicionais e extrair informações sensíveis do banco de dados, como dados de usuários e hashes de senha. A falha foi registrada pelo WPScan e ainda não tem pontuação CVSS nem exploit público conhecido.
Fonte: TheHackerWire / WPScan
O que fazer: Atualize o SaveTo Wishlist Lite para a versão 1.1.5 ou superior em Plugins > Atualizações. Se não puder atualizar agora, desative o plugin até aplicar a correção. Confira os logs de acesso em busca de requisições com parâmetros de ordenação estranhos (palavras como SELECT, UNION ou SLEEP) e mantenha as regras do WAF (Wordfence, Patchstack ou Sucuri) atualizadas.