CVE-2026-13596
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Participants Database dla WordPressa przed wersją 2.7.8.4 nieprawidłowo sanityzuje i koduje parametr dostarczony przez użytkownika przed użyciem go w zapytaniu SQL. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków SQL injection.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do bazy danych, wycieku danych, modyfikacji lub usunięcia rekordów, a w skrajnych przypadkach przejęcia kontroli nad serwerem.
Rekomendacja
Zaktualizuj wtyczkę Participants Database do wersji 2.7.8.4 lub nowszej.
Inne podatności w Participants Database
Zobacz wszystkie- CVE-2026-27423Średnie
Wtyczka Participants Database dla WordPressa w wersji 2.7.8.4 i starszych zawiera podatność na złamaną kontrolę dostępu, którą może wykorzystać użytkownik z rolą Subskrybenta.
- CVE-2026-59555Krytyczne
Wtyczka Participants Database w wersjach do 2.7.8.3 umożliwia nieuwierzytelnione usuwanie dowolnych plików.
- CVE-2026-59525Krytyczne
Wtyczka Participants Database w wersjach do 2.7.8.3 zawiera podatność na wstrzykiwanie SQL bez uwierzytelniania. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolne zapytania SQL.
- CVE-2026-28189Wysokie
Wtyczka Participants Database w wersjach do 2.7.8.4 umożliwia nieuwierzytelnionym użytkownikom usuwanie dowolnych plików z serwera.
- CVE-2026-11354Średnie
Wtyczka Participants Database dla WordPress do wersji 2.7.8.3 jest podatna na ujawnienie wrażliwych informacji przez parametr 'id'. Nieuwierzytelniony atakujący może nadpisać dowolny rekord uczestnika i przechwycić link dostępu do danych osobowych, uzyskując pełny odczyt i edycję.
Oryginalny opis (angielski, źródło NVD)
The Participants Database WordPress plugin before 2.7.8.4 does not properly sanitize and escape a user-supplied parameter before using it in a SQL query, allowing unauthenticated attackers to perform SQL injection attacks.