CVE-2026-39466
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Broken Link Checker od WPMU DEV do wersji 2.4.7 włącznie jest podatna na atak Blind SQL Injection poprzez nieprawidłową neutralizację specjalnych elementów używanych w poleceniu SQL.
Ocena ryzyka
Ryzyko polega na możliwości wykonania ślepych zapytań SQL, co może prowadzić do wycieku danych z bazy danych WordPressa, w tym haseł użytkowników i innych wrażliwych informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Broken Link Checker do wersji powyżej 2.4.7, która zawiera poprawkę eliminującą podatność.
Inne podatności w Broken Link Checker
Zobacz wszystkie- CVE-2026-102389Średnie
Wtyczka WordPress Broken Link Checker (WPMU DEV) w wersjach od n/a do 2.4.14.1 jest podatna na wstrzyknięcie kodu z powodu niewłaściwej kontroli generowania kodu. Luka umożliwia atakującemu wstrzyknięcie i wykonanie dowolnego kodu.
- CVE-2026-96562Średnie
Wtyczka Broken Link Checker dla WordPress w wersjach do 2.4.14.1 włącznie jest podatna na wykonanie dowolnych shortcode'ów, ponieważ nie waliduje wartości przed uruchomieniem do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y, jeśli przesłany komentarz zawierający payload w atrybucie href lub src zostanie zatwierdzony przez normalny proces moderacji komentarzy; po zatwierdzeniu shortcode jest wykonywany automatycznie przez WP-Cron.
- CVE-2026-84772Średnie
Podatność na Server Side Request Forgery (SSRF) w wtyczce Broken Link Checker w wersjach do 2.4.14, dotycząca ról edytorów (Editor).
- CVE-2026-75528Wysokie
Wtyczka Broken Link Checker dla WordPressa do wersji 2.4.13 włącznie jest podatna na Stored Cross-Site Scripting przez pole Comment Author URL / Link Log z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Niezalogowani atakujący mogą wstrzykiwać dowolne skrypty webowe na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga, aby administrator wykonał standardowy workflow dismiss-and-recheck na linku przesłanym przez atakującego, po czym serwer HTTP atakującego przekierowuje do URL zawierającego payload HTML/JavaScript, który jest przechowywany w logu linków.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in WPMU DEV - Your All-in-One WordPress Platform Broken Link Checker broken-link-checker allows Blind SQL Injection.This issue affects Broken Link Checker: from n/a through <= 2.4.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS