CVE-2026-62112
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Amelia w wersjach do 2.4.9 włącznie zawiera podatność SQL Injection dostępną dla edytorów. Umożliwia to użytkownikom z uprawnieniami edytora wstrzykiwanie złośliwych zapytań SQL do bazy danych.
Ocena ryzyka
Edytor może wykorzystać podatność do odczytu, modyfikacji lub usunięcia danych z bazy, co może prowadzić do wycieku informacji lub zniszczenia danych. Może to również posłużyć do eskalacji uprawnień w systemie WordPress.
Rekomendacja
Zaktualizuj wtyczkę Amelia do wersji nowszej niż 2.4.9, gdy tylko poprawka będzie dostępna. Do czasu aktualizacji ogranicz liczbę użytkowników z uprawnieniami edytora i monitoruj nietypowe zapytania do bazy.
Inne podatności w Amelia
Zobacz wszystkie- CVE-2026-57702Krytyczne
Wtyczka Amelia do WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 2.4.2 włącznie.
- CVE-2026-6286Wysokie
Wtyczka Amelia dla WordPressa do wersji 2.2 włącznie jest podatna na Stored Cross-Site Scripting przez pola nazw klienta. Obejście uwierzytelniania (brak weryfikacji nonce) pozwala niezautoryzowanym użytkownikom na przesyłanie danych rezerwacji, a w widoku kalendarza administratora nazwy klientów są interpolowane do literałów szablonów JavaScript i renderowane przez innerHTML bez odpowiedniego kodowania encji HTML. Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się po najechaniu kursorem na rezerwację.
- CVE-2026-14782Średnie
Wtyczka Amelia dla WordPressa jest podatna na atak SQL Injection podczas importu klientów. Luka występuje we wszystkich wersjach do 2.4.3 włącznie, z powodu niedostatecznego escapowania parametru i braku przygotowania zapytania SQL.
- CVE-2026-48889Wysokie
Wersje Amelia do 2.3 zawierają podatność umożliwiającą eskalację uprawnień subskrybenta.
- CVE-2026-40795Średnie
Wersje Amelia do 2.2 zawierają błąd w kontroli dostępu, który może umożliwić nieautoryzowanym użytkownikom dostęp do zasobów subskrybentów.
- CVE-2026-40789Wysokie
Wersje Amelia do 2.2 mają lukę, która pozwala na nieautoryzowany dostęp do wrażliwych danych.
- CVE-2026-39487Wysokie
Wtyczka Amelia do WordPressa (ameliabooking) zawiera podatność na ślepe wstrzyknięcie SQL (Blind SQL Injection) w wersjach do 2.1.1 włącznie. Problem wynika z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL.
Oryginalny opis (angielski, źródło NVD)
Editor SQL Injection in Amelia <= 2.4.9 versions.