CVE-2026-14782
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Amelia dla WordPressa jest podatna na atak SQL Injection podczas importu klientów. Luka występuje we wszystkich wersjach do 2.4.3 włącznie, z powodu niedostatecznego escapowania parametru i braku przygotowania zapytania SQL.
Ocena ryzyka
Uwierzytelniony atakujący z rolą wpamelia-manager może wstrzykiwać dodatkowe zapytania SQL, co umożliwia wyodrębnienie poufnych danych z bazy danych, takich jak hasła czy dane klientów.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Amelia do najnowszej dostępnej wersji, która zawiera poprawkę tej luki.
Inne podatności w Amelia
Zobacz wszystkie- CVE-2026-57702Krytyczne
Wtyczka Amelia do WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 2.4.2 włącznie.
- CVE-2026-6286Wysokie
Wtyczka Amelia dla WordPressa do wersji 2.2 włącznie jest podatna na Stored Cross-Site Scripting przez pola nazw klienta. Obejście uwierzytelniania (brak weryfikacji nonce) pozwala niezautoryzowanym użytkownikom na przesyłanie danych rezerwacji, a w widoku kalendarza administratora nazwy klientów są interpolowane do literałów szablonów JavaScript i renderowane przez innerHTML bez odpowiedniego kodowania encji HTML. Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się po najechaniu kursorem na rezerwację.
- CVE-2026-48889Wysokie
Wersje Amelia do 2.3 zawierają podatność umożliwiającą eskalację uprawnień subskrybenta.
- CVE-2026-40795Średnie
Wersje Amelia do 2.2 zawierają błąd w kontroli dostępu, który może umożliwić nieautoryzowanym użytkownikom dostęp do zasobów subskrybentów.
- CVE-2026-40789Wysokie
Wersje Amelia do 2.2 mają lukę, która pozwala na nieautoryzowany dostęp do wrażliwych danych.
- CVE-2026-39487Wysokie
Wtyczka Amelia do WordPressa (ameliabooking) zawiera podatność na ślepe wstrzyknięcie SQL (Blind SQL Injection) w wersjach do 2.1.1 włącznie. Problem wynika z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL.
Oryginalny opis (angielski, źródło NVD)
The Booking for Appointments and Events Calendar – Amelia plugin for WordPress is vulnerable to SQL Injection via the Customer Import in all versions up to, and including, 2.4.3 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with wpamelia-manager role, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.