CVE-2026-66624

WysokieCVSS 7.6

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 17/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Streszczenie

Wtyczka WordPress WPMasterToolKit w wersjach do 2.22.0 zawiera podatność SQL Injection dostępną dla użytkowników z uprawnieniami administratora. Administrator może wstrzyknąć złośliwe zapytania SQL poprzez podatny parametr.

Ocena ryzyka

Pomimo wymaganych uprawnień administratora, wykorzystanie podatności może prowadzić do wycieku lub modyfikacji danych w bazie danych WordPress. W środowiskach z wieloma administratorami lub przy przejęciu konta admina ryzyko jest znaczące.

Rekomendacja

Zaktualizuj wtyczkę WPMasterToolKit do wersji nowszej niż 2.22.0. Ogranicz liczbę kont z uprawnieniami administratora i regularnie audytuj aktywność administracyjną.

Inne podatności w WPMasterToolKit

CVE-2025-14166Średnie
Wtyczka WPMasterToolKit dla WordPressa w wersjach do 2.13.0 włącznie jest podatna na wstrzyknięcie kodu PHP, ponieważ pozwala użytkownikom z poziomem Author tworzyć i wykonywać dowolny kod PHP poprzez funkcję Code Snippets bez odpowiednich kontroli uprawnień. Uwierzytelnieni atakujący z poziomem Contributor lub wyższym mogą wykonać dowolny kod PHP na serwerze, co prowadzi do zdalnego wykonania kodu, eskalacji uprawnień i pełnego przejęcia witryny.

Oryginalny opis (angielski, źródło NVD)

Administrator SQL Injection in WPMasterToolKit <= 2.22.0 versions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS