CVE-2026-16977
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Form Maker by 10Web przed wersją 1.15.45 nie parametryzuje poprawnie wartości kontrolowanej przez użytkownika, która jest podstawiana do dynamicznego zapytania SQL dla pola wyboru opartego na bazie danych. Pozwala to użytkownikom z rolą subskrybenta na przeprowadzanie ataków SQL injection drugiego rzędu.
Ocena ryzyka
Ataki SQL injection mogą prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia.
Rekomendacja
Zaktualizuj wtyczkę Form Maker by 10Web do wersji 1.15.45 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
The Form Maker by 10Web WordPress plugin before 1.15.45 does not properly parameterize a user-controlled value that is substituted into a dynamic SQL query built for a database-backed choice field, allowing subscriber-level users to perform second-order SQL injection.