CVE-2026-74011
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie SQL w revmakx InfiniteWP Client umożliwia ślepe wstrzykiwanie SQL. Problem dotyczy wersji od n/a do 1.13.9.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do nieautoryzowanego dostępu do danych w bazie danych, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację InfiniteWP Client do wersji nowszej niż 1.13.9, która zawiera poprawkę. Należy również ograniczyć dostęp do aplikacji i monitorować logi bazy danych.
Inne podatności w InfiniteWP Client
Zobacz wszystkie- CVE-2026-15038Krytyczne
Wtyczka InfiniteWP Client dla WordPressa przed wersją 1.13.6 nieprawidłowo weryfikuje stan połączenia z witryną oraz autentyczność żądań do zdalnego punktu zarządzania w instalacjach WordPress Multisite. Umożliwia to nieuwierzytelnionym atakującym powiązanie własnego klucza, przejęcie sesji administratora i przejęcie całej sieci, prowadząc do zdalnego wykonania kodu.
- CVE-2026-17576Średnie
Wtyczka InfiniteWP Client dla WordPressa w wersjach do 1.13.9 włącznie jest podatna na wstrzyknięcie SQL poprzez akcję get_comments. Wynika to z niewystarczającego escapowania nazw kluczy tablicy dostarczonych w ciele żądania JSON przed użyciem w zapytaniu SQL, co umożliwia uwierzytelnionemu atakującemu z uprawnieniami administratora dołączenie dodatkowych zapytań SQL i wyodrębnienie poufnych informacji z bazy danych.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in revmakx InfiniteWP Client allows Blind SQL Injection. This issue affects InfiniteWP Client: from n/a through 1.13.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS