CVE-2026-112860
KrytyczneCVSS 9.3Streszczenie
Wtyczka Participants Database (participants-database) dla WordPressa firmy xnau webdesign zawiera podatność SQL Injection (niewłaściwa neutralizacja elementów specjalnych w poleceniu SQL), umożliwiającą ślepą iniekcję SQL. Podatność dotyczy wersji do 2.7.8.5 włącznie.
Ocena ryzyka
Ślepa iniekcja SQL może pozwolić atakującemu na wydobycie danych z bazy, w tym danych osobowych uczestników, oraz na manipulację zawartością bazy. Ryzyko dotyczy każdej instalacji wtyczki w wersji do 2.7.8.5.
Rekomendacja
Zaktualizuj wtyczkę Participants Database do wersji nowszej niż 2.7.8.5, gdy tylko będzie dostępna, i rozważ audyt bezpieczeństwa bazy danych pod kątem nieautoryzowanego dostępu.
Inne podatności w Participants Database
Zobacz wszystkie- CVE-2026-112861Średnie
Wtyczka Participants Database (participants-database) dla WordPress od xnau webdesign do wersji 2.7.8.5 zawiera lukę obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji od n/a do 2.7.8.5.
- CVE-2026-27423Średnie
Wtyczka Participants Database dla WordPressa w wersji 2.7.8.4 i starszych zawiera podatność na złamaną kontrolę dostępu, którą może wykorzystać użytkownik z rolą Subskrybenta.
- CVE-2026-112862Krytyczne
Wtyczka Participants Database (participants-database) dla WordPressa firmy xnau webdesign jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektu (Object Injection). Podatność dotyczy wersji do 2.7.8.5 włącznie.
- CVE-2026-13596Krytyczne
Wtyczka Participants Database dla WordPressa przed wersją 2.7.8.4 nieprawidłowo sanityzuje i koduje parametr dostarczony przez użytkownika przed użyciem go w zapytaniu SQL. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków SQL injection.
- CVE-2026-59555Krytyczne
Wtyczka Participants Database w wersjach do 2.7.8.3 umożliwia nieuwierzytelnione usuwanie dowolnych plików.
- CVE-2026-59525Krytyczne
Wtyczka Participants Database w wersjach do 2.7.8.3 zawiera podatność na wstrzykiwanie SQL bez uwierzytelniania. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolne zapytania SQL.
- CVE-2026-28189Wysokie
Wtyczka Participants Database w wersjach do 2.7.8.4 umożliwia nieuwierzytelnionym użytkownikom usuwanie dowolnych plików z serwera.
- CVE-2026-11354Średnie
Wtyczka Participants Database dla WordPress do wersji 2.7.8.3 jest podatna na ujawnienie wrażliwych informacji przez parametr 'id'. Nieuwierzytelniony atakujący może nadpisać dowolny rekord uczestnika i przechwycić link dostępu do danych osobowych, uzyskując pełny odczyt i edycję.
- CVE-2025-58008Średnie
Wtyczka Participants Database od xnau webdesign ma podatność na trwały XSS (Stored XSS) z powodu nieprawidłowego neutralizowania danych wejściowych podczas generowania strony. Dotyczy wersji do 2.7.6.3 włącznie.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in xnau webdesign Participants Database participants-database allows Blind SQL Injection.This issue affects Participants Database: from n/a through 2.7.8.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS