CVE-2026-66628
WysokieCVSS 7.6Streszczenie
Wtyczka WP-Lister Lite for eBay w wersjach do 3.8.11 włącznie zawiera podatność typu SQL Injection, którą może wykorzystać użytkownik z uprawnieniami shop managera. Pozwala to na wstrzyknięcie złośliwego kodu SQL do zapytań bazy danych.
Ocena ryzyka
Osoba z uprawnieniami shop managera może wykonać dowolne zapytania SQL, co grozi wyciekiem, modyfikacją lub usunięciem danych z bazy WordPress.
Rekomendacja
Zaktualizuj wtyczkę WP-Lister Lite for eBay do wersji nowszej niż 3.8.11, gdy tylko poprawka będzie dostępna, oraz weryfikuj uprawnienia przypisane do ról shop managera.
Inne podatności w WP-Lister Lite for eBay
Zobacz wszystkie- CVE-2026-18595Wysokie
Wtyczka WP-Lister Lite for eBay dla WordPressa w wersjach do 3.8.9 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez parametr żądania AJAX Cron Handler z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-11973Średnie
Wtyczka WP-Lister Lite for eBay dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 'orderby' we wszystkich wersjach do 3.8.8 włącznie. Wynika to z niedostatecznego escapowania parametru i braku przygotowania zapytania SQL. Uwierzytelnieni atakujący z dostępem na poziomie shop managera lub wyższym mogą dodawać dodatkowe zapytania SQL, co pozwala na wyciągnięcie wrażliwych informacji z bazy danych.
Oryginalny opis (angielski, źródło NVD)
Shop manager SQL Injection in WP-Lister Lite for eBay <= 3.8.11 versions.