CVE-2026-14238
ŚrednieCVSS 4.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka vitepos dla WordPressa przed wersją 3.6.0 nie sanityzuje ani nie parametryzuje identyfikatora pobieranego z treści żądania REST przed użyciem go w zapytaniu do bazy danych w jednym z endpointów raportów, co pozwala użytkownikom z dostępem na poziomie administratora na wykonanie wstrzyknięcia SQL.
Ocena ryzyka
Atakujący z uprawnieniami administratora może uzyskać nieautoryzowany dostęp do danych w bazie danych, w tym danych wrażliwych, a także potencjalnie przejąć kontrolę nad systemem.
Rekomendacja
Zaktualizuj wtyczkę vitepos do wersji 3.6.0 lub nowszej, która zawiera poprawki zabezpieczające przed wstrzyknięciem SQL.
Inne podatności w vitepos WordPress plugin
Zobacz wszystkie- CVE-2026-14237Wysokie
Wtyczki vitepos dla WordPressa przed wersją 3.6.0 oraz Vitepos przed wersją 3.5.0 nie przeprowadzają kontroli autoryzacji per cel w swoim API resetowania hasła punktu sprzedaży i domyślnie przyznają niestandardowej roli Menedżera Outletu zbyt szerokie uprawnienia do resetowania haseł, co pozwala Menedżerowi Outletu zresetować hasło dowolnego użytkownika, w tym administratora, i przejąć konto.
- CVE-2026-8157Wysokie
Wtyczka Vitepos dla WordPressa w wersjach przed 3.4.2 nie ogranicza poprawnie ról, które mogą być przypisywane podczas tworzenia nowych użytkowników za pomocą jednego z punktów końcowych REST API. Umożliwia to uwierzytelnionym użytkownikom z niestandardową rolą wtyczki Vitepos podniesienie uprawnień do administratora.
Oryginalny opis (angielski, źródło NVD)
The vitepos WordPress plugin before 3.6.0 does not sanitize or parameterize an identifier taken from a REST request body before using it in a database query in one of its report endpoints, allowing users with administrator-level access to perform SQL injection.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS