CVE-2026-109414

ŚrednieCVSS 6.5

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Wtyczka Vitepos – Point of Sale (POS) for WooCommerce dla WordPressa w wersjach do 3.6.1 włącznie jest podatna na ślepą iniekcję SQL poprzez parametr 'src_by[].val.start / src_by[].val.end (operator 'bt')'. Uwierzytelniony atakujący z uprawnieniami dostawcy lub wyższymi może dołączyć dodatkowe zapytania SQL do istniejących zapytań, aby wyodrębnić poufne informacje z bazy danych.

Ocena ryzyka

Możliwość wyodrębnienia poufnych danych z bazy danych może prowadzić do naruszenia poufności i integralności informacji. Podatność jest niekompletną poprawką wcześniejszej luki, która nie objęła operatora 'bt'.

Rekomendacja

Zaktualizuj wtyczkę do wersji nowszej niż 3.6.1, która w pełni naprawia iniekcję SQL, w tym operator 'bt'.

Inne podatności w Vitepos – Point of Sale (POS) for WooCommerce

CVE-2026-92766Wysokie
Wtyczka Vitepos – Point of Sale (POS) for WooCommerce dla WordPressa jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'src_by' we wszystkich wersjach do 3.5.1 włącznie, z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Umożliwia to nieuwierzytelnionym atakującym lub uwierzytelnionym użytkownikom z dowolną rolą POS dołączenie dodatkowych zapytań SQL w celu wydobycia poufnych informacji z bazy danych.

Oryginalny opis (angielski, źródło NVD)

The Vitepos – Point of Sale (POS) for WooCommerce plugin for WordPress is vulnerable to blind SQL Injection via the 'src_by[].val.start / src_by[].val.end (operator 'bt')' parameter in all versions up to, and including, 3.6.1 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with vendor-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. This is an incomplete fix for a previously patched SQL injection (version 3.6.0), which addressed only the gt/lt/le/ge operators while leaving the 'bt' (BETWEEN) operator branch unpatched.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS