CVE-2025-10048
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka My auctions allegro dla WordPress jest podatna na SQL Injection poprzez parametr 'order' we wszystkich wersjach do 3.6.31 włącznie, z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami Administratora lub wyższymi może dołączyć dodatkowe zapytania SQL i wyodrębnić poufne informacje z bazy danych.
Ocena ryzyka
Atakujący z uprawnieniami administratora może uzyskać dostęp do poufnych danych w bazie danych WordPress.
Rekomendacja
Zaktualizuj wtyczkę My auctions allegro do wersji nowszej niż 3.6.31, jeśli jest dostępna, lub rozważ jej usunięcie/dezaktywację do czasu wydania poprawki.
Inne podatności w My auctions allegro
Zobacz wszystkie- CVE-2025-68567Średnie
Podatność CSRF w wtyczce My auctions allegro do wersji 3.6.33. Umożliwia atakującemu wykonanie nieautoryzowanych działań w kontekście zalogowanego użytkownika.
- CVE-2025-68566Średnie
Podatność typu Stored XSS w wtyczce My auctions allegro (wersje do 3.6.35) pozwala atakującemu na wstrzyknięcie złośliwego skryptu do strony, który zostanie wykonany w przeglądarce innego użytkownika.
Oryginalny opis (angielski, źródło NVD)
The My auctions allegro plugin for WordPress is vulnerable to SQL Injection via the 'order' parameter in all versions up to, and including, 3.6.31 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with Administrator-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS