CVE-2026-14785

WysokieCVSS 7.5

Opublikowano: 28/07/2026(UTC)Zaktualizowano: 28/07/2026(UTC)Przetłumaczono: 28/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Wtyczka Web Directory Free dla WordPressa w wersjach do 1.7.13 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'levels'. Brak odpowiedniego oczyszczania danych wejściowych i przygotowania zapytań SQL umożliwia nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Ocena ryzyka

Atakujący może wyodrębnić wrażliwe dane z bazy danych, takie jak hasła użytkowników czy dane konfiguracyjne, bez konieczności uwierzytelniania.

Rekomendacja

Należy zaktualizować wtyczkę Web Directory Free do wersji 1.7.14 lub nowszej, która zawiera poprawkę.

Inne podatności w Web Directory Free

CVE-2026-28142Krytyczne
Nieuwierzytelniona podatność na wstrzykiwanie SQL w wtyczce Web Directory Free w wersjach do 1.7.13. Atakujący może wykonać dowolne zapytania SQL bez logowania.

Oryginalny opis (angielski, źródło NVD)

The Web Directory Free plugin for WordPress is vulnerable to generic SQL Injection via the 'levels' parameter in all versions up to, and including, 1.7.13 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.