CVE-2025-8994
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka WP Project Manager dla WordPressa jest podatna na ataki SQL Injection oparte na czasie poprzez parametr 'completed_at_operator' we wszystkich wersjach do 2.6.26 włącznie. Problem wynika z niedostatecznego escapowania parametru i braku przygotowania zapytania SQL, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym na dołączanie dodatkowych zapytań SQL do istniejących, umożliwiając wyciągnięcie wrażliwych danych z bazy.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych informacji przechowywanych w bazie danych WordPressa, co może prowadzić do naruszenia poufności danych i eskalacji uprawnień.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki WP Project Manager do najnowszej wersji, która zawiera poprawki zabezpieczeń. Dodatkowo należy ograniczyć uprawnienia użytkowników do minimum.
Inne podatności w WP Project Manager
Zobacz wszystkie- CVE-2026-78262Krytyczne
Podatność w wtyczce WP Project Manager w wersjach do 4.0.6 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie obiektów PHP (PHP Object Injection).
- CVE-2026-97281Średnie
Podatność Broken Access Control w WP Project Manager w wersjach do 4.0.7 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji administracyjnych.
- CVE-2025-68040Średnie
Wtyczka WP Project Manager od weDevs jest podatna na wstawianie wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych danych wrażliwych. Podatność dotyczy wersji do 3.0.1 włącznie.
- CVE-2025-58269Średnie
Wtyczka WP Project Manager dla WordPressa zawiera podatność polegającą na użyciu twardo zakodowanych poświadczeń, co umożliwia atakującemu odzyskanie wrażliwych danych osadzonych w aplikacji. Problem dotyczy wersji do 2.6.25 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Project Management, Team Collaboration, Kanban Board, Gantt Charts, Task Manager and More – WP Project Manager plugin for WordPress is vulnerable to time-based SQL Injection via the ‘completed_at_operator’ parameter in all versions up to, and including, 2.6.26 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with Subscriber-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS