CVE-2026-59549
KrytyczneCVSS 9.3Streszczenie
Wtyczka rtMedia dla WordPress, BuddyPress i bbPress w wersji 4.7.10 i starszych zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolne zapytania SQL, co może prowadzić do wycieku danych, modyfikacji bazy danych lub przejęcia kontroli nad witryną.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę rtMedia do najnowszej dostępnej wersji, która zawiera poprawkę.
Inne podatności w rtMedia
Zobacz wszystkie- CVE-2026-66592Krytyczne
Nieuwierzytelniona podatność na wstrzykiwanie SQL w wtyczce rtMedia dla WordPress, BuddyPress i bbPress w wersjach do 4.7.11. Atakujący może manipulować zapytaniami do bazy danych.
- CVE-2026-16482Wysokie
Wtyczka rtMedia dla WordPressa, BuddyPress i bbPress w wersjach do 4.7.11 włącznie jest podatna na czasową ślepą iniekcję SQL poprzez parametr 'compare' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to nieuwierzytelnionemu atakującemu dołączenie dodatkowych zapytań SQL do istniejących zapytań w celu wyodrębnienia poufnych informacji z bazy danych. Podatność jest wykorzystywana na dowolnej publicznej stronie zawierającej shortcode rtMedia (np. [rtmedia_gallery]) przy ustawionym parametrze GET rtmedia_shortcode, ponieważ RTMediaQuery::query() scala $_REQUEST z wewnętrznym zapytaniem, walidując tylko klucze najwyższego poziomu.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated SQL Injection in rtMedia for WordPress, BuddyPress and bbPress <= 4.7.10 versions.