WordPress Cost Calculator Builder 插件 /wp-admin/admin-ajax.php SQL 注入漏洞（CVE-2024-43144）

Cost Calculator Builder是WordPress平台广受欢迎的在线成本估算器插件。其3.2.15及更早版本中，create_cc_order 功能对折扣码参数（promocodes）未做充分转义且SQL查询准备不足，未认证的远程攻击者可通过 admin-ajax.php 接口注入恶意 SQL（时间盲注），逐位读取数据库中的用户凭证与订单数据等敏感信息。