CVE-2026-18057
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Events Manager dla WordPressa przed wersją 7.4.1 nie sanityzuje i nie escapuje kontrolowanej przez użytkownika wartości przed użyciem jej w zapytaniu SQL, co pozwala użytkownikom z kontem subskrybenta i wyżej na przeprowadzanie ataków SQL injection oraz manipulowanie rekordami zgody na rezerwacje należącymi do innych osób.
Ocena ryzyka
Zalogowany użytkownik może uzyskać dostęp do danych innych osób lub je modyfikować, co może naruszać prywatność i integralność danych.
Rekomendacja
Zaktualizuj wtyczkę Events Manager do wersji 7.4.1 lub nowszej. Upewnij się, że wszystkie parametry są odpowiednio sanityzowane i escapowane.
Oryginalny opis (angielski, źródło NVD)
The Events Manager WordPress plugin before 7.4.1 does not sanitise and escape a user-controlled value before using it in a SQL statement, allowing users with a subscriber account and above to perform SQL injection attacks and tamper with booking consent records belonging to other people.