CVE-2026-39496
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka YayMail od YayCommerce do wersji 4.3.3 włącznie jest podatna na atak Blind SQL Injection poprzez nieprawidłową neutralizację specjalnych elementów używanych w poleceniu SQL.
Ocena ryzyka
Ryzyko polega na możliwości wykonania ślepych zapytań SQL, co może prowadzić do wycieku danych z bazy danych WordPressa, w tym haseł użytkowników i innych wrażliwych informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki YayMail do wersji powyżej 4.3.3, która zawiera poprawkę eliminującą podatność.
Inne podatności w YayMail
Zobacz wszystkie- CVE-2026-42701Wysokie
Wtyczka WordPress YayMail w wersjach do 4.4.6 zawiera podatność PHP Object Injection, którą może wykorzystać użytkownik z rolą shop managera. Może to prowadzić do wstrzyknięcia złośliwego obiektu PHP i dalszej eksploatacji.
- CVE-2026-39498Wysokie
W wersjach YayMail do 4.3.3 występuje podatność na wstrzykiwanie obiektów PHP w menedżerze sklepu.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in YayCommerce YayMail yaymail allows Blind SQL Injection.This issue affects YayMail: from n/a through <= 4.3.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS