CVE-2026-6806
WysokieCVSS 7.5Streszczenie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na czasową ślepą iniekcję SQL przez parametry 'stm_lat/stm_lng' w wersjach do 1.4.109 włącznie, z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Nieuwierzytelnieni atakujący mogą dodawać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych informacji z bazy danych.
Ocena ryzyka
Ryzyko wycieku poufnych danych z bazy danych, takich jak dane użytkowników czy hasła.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę do najnowszej wersji oraz zastosować zapory aplikacyjne (WAF) w celu blokowania ataków SQL Injection.
Inne podatności w Motors – Car Dealership & Classified Listings Plugin
Zobacz wszystkie- CVE-2026-96563Średnie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'stm_f_s' we wszystkich wersjach do 1.4.124 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; nonce wymagany przez handler AJAX stm_ajax_add_a_car jest emitowany w wp_footer na każdej stronie, co ułatwia eksploatację.
- CVE-2026-16750Średnie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa, we wszystkich wersjach do 1.4.120 włącznie, jest podatna na nieautoryzowany dostęp do danych z powodu braku kontroli autoryzacji w funkcji mvl_ajax_dealer_load_cars(). Umożliwia to nieuwierzytelnionym atakującym pobieranie szkiców, oczekujących, prywatnych i przyszłych ogłoszeń samochodowych należących do dowolnych użytkowników.
- CVE-2026-13114Wysokie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na trwałe ataki XSS przez treść komentarzy i informacje biograficzne użytkownika we wszystkich wersjach do 1.4.112 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-12435Średnie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa do wersji 1.4.111 zawiera podatność polegającą na pominięciu autoryzacji. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może oznaczyć lub odznaczyć dowolne ogłoszenie innego użytkownika jako sprzedane, wykorzystując ważny token nonce z własnego ogłoszenia.
Oryginalny opis (angielski, źródło NVD)
The Motors – Car Dealership & Classified Listings Plugin plugin for WordPress is vulnerable to time-based blind SQL Injection via the 'stm_lat/stm_lng' parameter in all versions up to, and including, 1.4.109 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS