CVE-2025-9462
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka WP2LEADS dla WordPressa jest podatna na czasową SQL Injection poprzez parametr 'order' w wersjach do 3.5.6 włącznie z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może dołączyć dodatkowe zapytania SQL w celu wyodrębnienia poufnych informacji z bazy danych.
Ocena ryzyka
Może prowadzić do wycieku danych z bazy danych, w tym informacji o użytkownikach i hasłach, co może skutkować przejęciem konta i dalszymi atakami. Stanowi poważne zagrożenie dla poufności danych.
Rekomendacja
Zaktualizuj wtyczkę WP2LEADS do wersji nowszej niż 3.5.6. Zaleca się również regularne przeglądanie uprawnień użytkowników i monitorowanie nietypowych zapytań do bazy danych.
Inne podatności w WP2LEADS
Zobacz wszystkie- CVE-2026-25434Wysokie
Wtyczka WP2LEADS w wersjach do 3.5.7 włącznie zawiera podatność typu SQL Injection, którą może wykorzystać atakujący z uprawnieniami subskrybenta. Brak odpowiedniej walidacji danych wejściowych pozwala na wstrzyknięcie złośliwych zapytań SQL.
- CVE-2026-25433Wysokie
Podatność Broken Access Control w WP2LEADS do wersji 3.5.7 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.
Oryginalny opis (angielski, źródło NVD)
The WP2LEADS plugin for WordPress is vulnerable to time-based SQL Injection via the ‘order’ parameter in all versions up to, and including, 3.5.6 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with Subscriber-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS