CVE-2026-6453
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka CubeWP Framework dla WordPressa jest podatna na iniekcję SQL w funkcji AJAX `cubewp_remove_relation()`. Użycie `wp_unslash()` usuwa zabezpieczenie przed iniekcją, a brak `$wpdb->prepare()` pozwala uwierzytelnionym atakującym z dostępem subskrybenta na dołączanie dodatkowych zapytań SQL.
Ocena ryzyka
Atakujący może odczytać lub zmodyfikować dane w bazie danych, co może prowadzić do wycieku danych lub przejęcia witryny.
Rekomendacja
Zaktualizuj wtyczkę CubeWP Framework do wersji, która używa przygotowanych zapytań i odpowiedniej sanityzacji.
Inne podatności w CubeWP Framework
Zobacz wszystkie- CVE-2026-17018Średnie
Framework CubeWP do WordPressa do wersji 1.1.30 nie przeprowadza kontroli autoryzacji odczytu per obiekt ani nie ogranicza, które klucze metadanych mogą być żądane, na jednym z punktów końcowych REST API, co pozwala użytkownikom z rolą Contributor i wyżej na odczyt dowolnych metadanych postów (w tym postów innych użytkowników w wersjach roboczych, oczekujących, prywatnych i chronionych hasłem) oraz dowolnych metadanych użytkowników, w tym administratorów.
- CVE-2026-13339Wysokie
Wtyczka CubeWP Framework dla WordPressa jest podatna na przeszukiwanie katalogów we wszystkich wersjach do 1.1.30 włącznie poprzez funkcję 'cubewp_get_svg_content'. Nieuwierzytelnieni atakujący mogą odczytać zawartość dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Podatność jest wykorzystywana przez nieuwierzytelnionych atakujących, ponieważ wymagany nonce jest publicznie emitowany w znacznikach każdej strony renderującej shortcode lub widget CubeWP z włączonym ładowaniem AJAX, co umożliwia jego przechwycenie przez każdego gościa przed wysłaniem żądania AJAX.
Oryginalny opis (angielski, źródło NVD)
The CubeWP Framework plugin for WordPress is vulnerable to SQL Injection in all versions up to and including 1.1.30. This is due to insufficient input sanitization in the cubewp_remove_relation() AJAX function, specifically the use of wp_unslash() on the relation_id parameter before interpolating it directly into a raw SQL query without using $wpdb->prepare(). The wp_unslash() call explicitly removes the backslash escaping that WordPress's wp_magic_quotes() adds to all $_POST data, neutralizing the only layer of SQL injection protection. The sanitize_text_field() function applied afterward offers no SQL protection. This makes it possible for authenticated attackers, with subscriber-level access and above, to append additional SQL queries to the existing query.