CVE-2026-13010
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Wtyczka JoomSport dla WordPressa do wersji 5.7.9 włącznie jest podatna na czasową iniekcję SQL przez atrybut 'event' shortcode'u. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym dołączanie dodatkowych zapytań SQL.
Ocena ryzyka
Atakujący może wydobyć wrażliwe dane z bazy danych, takie jak hasła użytkowników czy klucze API, co prowadzi do naruszenia poufności i integralności systemu.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę JoomSport do najnowszej dostępnej wersji, która zawiera poprawkę zabezpieczającą przed tą podatnością.
Inne podatności w JoomSport
Zobacz wszystkie- CVE-2026-12134Średnie
Wtyczka JoomSport dla WordPressa do wersji 5.7.8 zawiera podatność polegającą na pominięciu autoryzacji. Umożliwia ona uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym tworzenie dowolnych grup sezonów oraz modyfikację istniejących nazw grup, uczestników i opcji rund. Wykorzystanie podatności wymaga uzyskania nonce (joomsportajaxnonce), które jest ujawniane na stronach frontendowych renderujących shortcode JoomSport.
- CVE-2026-12133Średnie
Wtyczka JoomSport dla WordPressa do wersji 5.7.8 włącznie zawiera lukę braku autoryzacji w funkcji AJAX joomsport_season_groupdel(). Umożliwia ona uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym usunięcie dowolnych grup JoomSport bez wymaganej kontroli uprawnień.
Oryginalny opis (angielski, źródło NVD)
The JoomSport – for Sports: Team & League, Football, Hockey & more plugin for WordPress is vulnerable to time-based SQL Injection via 'event' Shortcode Attribute in all versions up to, and including, 5.7.9 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with contributor-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. The shortcode can be embedded in posts or pages by Contributor-level users, making this exploitable by any authenticated user with at least that role.