CVE-2018-25347

Wysokie

Opublikowano: 23/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Wtyczka WordPress Contact Form Maker w wersji 1.12.20 zawiera podatności na wstrzykiwanie SQL, które pozwalają uwierzytelnionym atakującym manipulować zapytaniami do bazy danych poprzez akcje AJAX FormMakerSQLMapping i generete_csv_fmc. Atakujący mogą wstrzykiwać złośliwy kod SQL za pomocą parametrów 'name' i 'search_labels'.

Ocena ryzyka

Podatność ta może prowadzić do wycieku wrażliwych informacji z bazy danych lub eskalacji uprawnień, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć te podatności oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.

Oryginalny opis (angielski, źródło NVD)

WordPress Contact Form Maker Plugin 1.12.20 contains SQL injection vulnerabilities that allow authenticated attackers to manipulate database queries through the FormMakerSQLMapping and generete_csv_fmc AJAX actions. Attackers can inject malicious SQL code via the 'name' and 'search_labels' parameters to extract sensitive database information or escalate privileges.