CVE-2023-3435
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
Wtyczka User Activity Log dla WordPressa w wersjach przed 1.6.5 nieprawidłowo sanitizuje i ucieka kilka parametrów przed ich użyciem w zapytaniu SQL w ramach funkcji eksportu, co umożliwia nieautoryzowanym atakującym przeprowadzenie ataków typu SQL injection.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do uzyskania dostępu do wrażliwych danych w bazie danych, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację wtyczki User Activity Log do wersji 1.6.5 lub nowszej, aby zlikwidować tę podatność.
Powiązane podatności
- CVE-2026-97785Krytyczne
Występuje nieprawidłowa weryfikacja uwierzytelniania w usłudze AAD App Proxy. Nieuwierzytelniony atakujący może wykorzystać tę lukę do podniesienia uprawnień w sieci.
- CVE-2026-83938Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w usłudze Azure Kubernetes Configuration Service. Nieuwierzytelniony atakujący może podnieść uprawnienia w sieci.
- CVE-2026-110063Krytyczne
Występuje nieprawidłowe rozwiązywanie dowiązań przed dostępem do pliku (podążanie za dowiązaniem) w VM Inspector dla Azure Virtual Machines. Nieuwierzytelniony atakujący może podnieść uprawnienia w sieci.
- CVE-2026-109122Krytyczne
Usługa zarządzania siecią w oprogramowaniu Kiloview E3 NDI encoder nie oczyszcza jednego pola używanego podczas konfiguracji tras statycznych przez API zarządzania webowego. Uwierzytelniony użytkownik webowy z uprawnieniami do konfiguracji tras statycznych może wykonać dowolne polecenia systemu operacyjnego jako root, a złośliwa konfiguracja przetrwa ponowne uruchomienia.
- CVE-2026-105014Krytyczne
Występuje nieprawidłowa neutralizacja znaków specjalnych używanych w poleceniu (wstrzyknięcie poleceń) w Azure Pipelines. Nieuwierzytelniony atakujący może wykonać kod w sieci.
- CVE-2026-114625Krytyczne
W on-prem wersji VeloCloud Orchestrator (VCO) występuje luka w zabezpieczeniach, która może pozwolić zdalnemu atakującemu na dostęp do uprzywilejowanej wewnętrznej funkcjonalności i wpłynięcie na host VCO. Każdy uwierzytelniony użytkownik może uzyskać uprawnienia operatora i podszyć się pod lokalnego użytkownika "superuser operator", uzyskując dostęp do funkcji przeznaczonych wyłącznie do użytku wewnętrznego, które nie powinny być dostępne zdalnie.
- CVE-2026-79876Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79875Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79874Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79873Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
Oryginalny opis (angielski, źródło NVD)
The User Activity Log WordPress plugin before 1.6.5 does not correctly sanitise and escape several parameters before using it in a SQL statement as part of its exportation feature, allowing unauthenticated attackers to conduct SQL injection attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS