CVE-2026-42720
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka Dynamic User Directory autorstwa Sarah Giles zawiera podatność SQL Injection (ślepą), wynikającą z niewłaściwego neutralizowania specjalnych elementów w poleceniu SQL. Problem dotyczy wersji do 2.4 włącznie.
Ocena ryzyka
Atakujący może wykonywać zapytania SQL bez wiedzy administratora, co może prowadzić do wycieku danych lub manipulacji bazą danych.
Rekomendacja
Zaktualizuj wtyczkę Dynamic User Directory do wersji nowszej niż 2.4, jeśli dostępna, lub zastosuj inne środki łagodzące.
Inne podatności w Dynamic User Directory
Zobacz wszystkie- CVE-2026-42719Krytyczne
Wtyczka Dynamic User Directory w wersjach do 2.4 włącznie zawiera podatność typu PHP Object Injection, którą może wykorzystać użytkownik z rolą Subscriber. Wymagane jest jedynie niskouprawnione konto.
- CVE-2025-62982Średnie
Wtyczka Dynamic User Directory (dynamic-user-directory) zawiera podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron), umożliwiającą trwałe XSS. Problem dotyczy wersji od n/a do <= 2.3.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Sarah Giles Dynamic User Directory dynamic-user-directory allows Blind SQL Injection.This issue affects Dynamic User Directory: from n/a through 2.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS