CVE-2026-103695
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzanie ataków SQL injection.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzykiwać złośliwe zapytania SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych z bazy danych WordPress.
Rekomendacja
Zaktualizuj wtyczkę Mobile builder do wersji nowszej niż 1.4.2, jeśli jest dostępna. W przeciwnym razie wyłącz i usuń wtyczkę do czasu wydania poprawki.
Inne podatności w Mobile builder WordPress plugin
Zobacz wszystkie- CVE-2026-103696Nieznane
Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Pozwala to nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection na witrynach, które uruchamiają również dodatek WCFM Delivery.
- CVE-2026-103694Wysokie
Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie ogranicza prawidłowo, które klucze meta użytkownika zalogowany użytkownik może aktualizować przez jedną z jej tras REST. Umożliwia to każdemu użytkownikowi z samodzielnie zarejestrowanym kontem, np. klientowi, przyznanie sobie roli administratora.
Oryginalny opis (angielski, źródło NVD)
The Mobile builder WordPress plugin through 1.4.2 does not sanitise and escape a parameter before using it in a SQL statement, allowing unauthenticated users to perform SQL injection attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS