CVE-2026-103696
NieznaneStreszczenie
Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Pozwala to nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection na witrynach, które uruchamiają również dodatek WCFM Delivery.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolne zapytania SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych z bazy danych witryny.
Rekomendacja
Zaktualizuj wtyczkę Mobile builder do wersji nowszej niż 1.4.2, gdy będzie dostępna. Do tego czasu rozważ wyłączenie wtyczki lub dodatku WCFM Delivery.
Inne podatności w Mobile builder WordPress plugin
Zobacz wszystkie- CVE-2026-103695Wysokie
Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzanie ataków SQL injection.
- CVE-2026-103694Wysokie
Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie ogranicza prawidłowo, które klucze meta użytkownika zalogowany użytkownik może aktualizować przez jedną z jej tras REST. Umożliwia to każdemu użytkownikowi z samodzielnie zarejestrowanym kontem, np. klientowi, przyznanie sobie roli administratora.
Oryginalny opis (angielski, źródło NVD)
The Mobile builder WordPress plugin through 1.4.2 does not sanitise and escape a parameter before using it in a SQL statement, allowing unauthenticated users to perform SQL injection attacks on sites that also run the WCFM Delivery add-on.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS