CVE-2026-12582
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Library Management System dla WordPress przed wersją 3.5.8 nie oczyszcza ani nie escapuje parametru dostarczonego przez użytkownika przed użyciem go w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataku SQL injection i wyodrębnienie dowolnych danych z bazy, w tym skrótów haseł użytkowników.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży wrażliwych danych, takich jak skróty haseł użytkowników, co może prowadzić do przejęcia kont administratorów i dalszej kompromitacji systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Library Management System do wersji 3.5.8 lub nowszej, która zawiera niezbędne poprawki zabezpieczające przed atakami SQL injection.
Inne podatności w Library Management System
Zobacz wszystkie- CVE-2026-56034Krytyczne
W systemie Library Management System w wersji 3.5.7 i starszych występuje podatność na wstrzykiwanie SQL (SQL Injection) bez wymaganego uwierzytelnienia. Atakujący może zdalnie wykonać dowolne zapytania SQL, co prowadzi do nieautoryzowanego dostępu do bazy danych.
- CVE-2026-18666Średnie
Wtyczka Library Management System dla WordPressa przed wersją 3.6.7 nie sanityzuje i nie escapuje parametru dostarczanego przez użytkownika przed użyciem go w zapytaniu SQL. Umożliwia to użytkownikom z rolą co najmniej Subskrybenta wykonanie wstrzyknięcia SQL i wyodrębnienie dowolnych danych z bazy, w tym skrótów haseł użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Library Management System WordPress plugin before 3.5.8 does not sanitize and escape a user-supplied parameter before using it in a SQL statement, allowing unauthenticated attackers to perform SQL injection and extract arbitrary data from the database, including user password hashes.