CVE-2026-15448

ŚrednieCVSS 6.5

Opublikowano: 23/07/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Streszczenie

Wtyczka Tickera – Sell Tickets & Manage Events dla WordPressa w wersjach do 3.6.0.1 zawiera podatność na wstrzykiwanie SQL przez parametr 'tc_order_status_filter', umożliwiającą uwierzytelnionym użytkownikom z dostępem na poziomie personelu i wyższym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Ocena ryzyka

Ryzyko polega na możliwości ekstrakcji wrażliwych danych z bazy danych, takich jak dane użytkowników, zamówienia czy hasła, przez atakujących z ograniczonym dostępem.

Rekomendacja

Zaleca się aktualizację wtyczki Tickera do wersji powyżej 3.6.0.1, która usuwa tę podatność.

Inne podatności w Tickera

CVE-2026-82226Krytyczne
W Tickera w wersjach do 3.6.0.2 wykryto podatność na wstrzykiwanie obiektów PHP (PHP Object Injection) bez uwierzytelnienia. Podatność może pozwolić atakującemu na zdalne wykonanie kodu lub inne nieautoryzowane działania.

Oryginalny opis (angielski, źródło NVD)

The Tickera – Sell Tickets & Manage Events plugin for WordPress is vulnerable to generic SQL Injection via the 'tc_order_status_filter' parameter in all versions up to, and including, 3.6.0.1 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with staff-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.