CVE-2026-18443
WysokieCVSS 8.8Streszczenie
Wtyczka Smart Manager dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'access_privileges' w wersjach do 8.97.0 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dodawać zapytania SQL do istniejących zapytań, aby wyciągnąć wrażliwe informacje z bazy danych. Atak jest możliwy tylko wtedy, gdy administrator zapisał konfigurację listy odmów opartą na rolach, która nie blokuje wewnętrznego modułu 'access-privilege'.
Ocena ryzyka
Ryzyko polega na możliwości wycieku wrażliwych danych z bazy danych WordPressa, w tym danych użytkowników i treści. Atakujący z minimalnymi uprawnieniami może uzyskać dostęp do informacji, które powinny być chronione.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Smart Manager do najnowszej dostępnej wersji, która zawiera poprawkę. Dodatkowo należy przejrzeć konfigurację listy odmów, aby upewnić się, że moduł 'access-privilege' jest zablokowany dla użytkowników z niskimi uprawnieniami.
Inne podatności w Smart Manager
Zobacz wszystkie- CVE-2026-57704Wysokie
Wtyczka Smart Manager w wersji 8.90.0 i starszych zawiera podatność na atak XSS, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
- CVE-2026-45216Wysokie
Wtyczka Smart Manager dla WordPressa zawiera podatność polegającą na nieprawidłowym przypisaniu uprawnień, co umożliwia eskalację uprawnień. Problem dotyczy wersji do 8.85.0 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Smart Manager – Advanced WooCommerce Bulk Edit & Inventory Management plugin for WordPress is vulnerable to generic SQL Injection via the 'access_privileges' parameter in all versions up to, and including, 8.97.0 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with subscriber-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. This exploit is only possible on installations where an administrator has saved a role-based deny-list Access Privilege configuration that does not explicitly block the internal 'access-privilege' module, as this condition allows the authorization filter to implicitly permit Subscriber-level users to invoke the vulnerable handler.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS