CVE-2026-14238
ŚrednieCVSS 4.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka vitepos dla WordPressa przed wersją 3.6.0 nie sanityzuje ani nie parametryzuje identyfikatora pobieranego z treści żądania REST przed użyciem go w zapytaniu do bazy danych w jednym z endpointów raportów, co pozwala użytkownikom z dostępem na poziomie administratora na wykonanie wstrzyknięcia SQL.
Ocena ryzyka
Atakujący z uprawnieniami administratora może uzyskać nieautoryzowany dostęp do danych w bazie danych, w tym danych wrażliwych, a także potencjalnie przejąć kontrolę nad systemem.
Rekomendacja
Zaktualizuj wtyczkę vitepos do wersji 3.6.0 lub nowszej, która zawiera poprawki zabezpieczające przed wstrzyknięciem SQL.
Oryginalny opis (angielski, źródło NVD)
The vitepos WordPress plugin before 3.6.0 does not sanitize or parameterize an identifier taken from a REST request body before using it in a database query in one of its report endpoints, allowing users with administrator-level access to perform SQL injection.