CVE-2026-15287
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka rtMedia dla WordPress, BuddyPress i bbPress jest podatna na czasową iniekcję SQL przez parametr order_by we wszystkich wersjach do 4.6.18 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.
Ocena ryzyka
Uwierzytelniony atakujący z dostępem na poziomie subskrybenta lub wyższym może dołączać dodatkowe zapytania SQL, co umożliwia wyodrębnienie wrażliwych informacji z bazy danych, takich jak dane użytkowników czy hasła.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę rtMedia do wersji nowszej niż 4.6.18, gdy tylko producent udostępni łatkę. Do czasu aktualizacji zaleca się ograniczenie dostępu do kont subskrybentów i monitorowanie zapytań SQL.
Inne podatności w rtMedia for WordPress, BuddyPress and bbPress
Zobacz wszystkie- CVE-2026-59551Wysokie
Podatność na wstrzyknięcie SQL z uprawnieniami subskrybenta we wtyczce rtMedia for WordPress, BuddyPress and bbPress do wersji 4.7.10. Umożliwia użytkownikowi z rolą subskrybenta wykonanie dowolnych zapytań SQL.
- CVE-2026-40773Średnie
Wersje rtMedia dla WordPress, BuddyPress i bbPress do 4.7.9 mają lukę w kontroli dostępu, która może umożliwić nieautoryzowanym subskrybentom dostęp do zasobów.
Oryginalny opis (angielski, źródło NVD)
The rtMedia for WordPress, BuddyPress and bbPress plugin for WordPress is vulnerable to time-based SQL Injection via the order_by parameter in all versions up to, and including, 4.6.18 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with subscriber access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.