CVE-2026-105889
KrytyczneCVSS 9.3Streszczenie
Podatność typu Blind SQL Injection w wtyczce Tickera do systemu biletowego. Nieprawidłowa neutralizacja specjalnych elementów w zapytaniach SQL pozwala atakującemu na ślepe wstrzyknięcie kodu SQL. Dotyczy wersji do 3.6.0.6.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do danych w bazie danych, w tym danych klientów i transakcji, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj wtyczkę Tickera do najnowszej wersji, która zawiera poprawkę. Jeśli nie jest dostępna, ogranicz dostęp do panelu administracyjnego i zastosuj dodatkowe zabezpieczenia, takie jak firewall aplikacji.
Inne podatności w Tickera
Zobacz wszystkie- CVE-2026-15448Średnie
Wtyczka Tickera – Sell Tickets & Manage Events dla WordPressa w wersjach do 3.6.0.1 zawiera podatność na wstrzykiwanie SQL przez parametr 'tc_order_status_filter', umożliwiającą uwierzytelnionym użytkownikom z dostępem na poziomie personelu i wyższym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
- CVE-2026-82226Krytyczne
W Tickera w wersjach do 3.6.0.2 wykryto podatność na wstrzykiwanie obiektów PHP (PHP Object Injection) bez uwierzytelnienia. Podatność może pozwolić atakującemu na zdalne wykonanie kodu lub inne nieautoryzowane działania.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Tickera Tickera tickera-event-ticketing-system allows Blind SQL Injection.This issue affects Tickera: from n/a through 3.6.0.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS