CVE-2026-77161
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Smart Marketing SMS and Newsletters Forms dla WordPressa jest podatna na wstrzyknięcie SQL (SQL Injection) poprzez nazwę parametru we wszystkich wersjach do 5.1.24 włącznie, z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może dołączać dodatkowe zapytania SQL do istniejących zapytań i wyciągać poufne dane z bazy danych. Wykorzystanie wymaga włączonej funkcji synchronizacji wtyczki oraz niepustej opcji egoi_mapping.
Ocena ryzyka
Atakujący z kontem subskrybenta może odczytać poufne dane z bazy WordPressa, w tym dane innych użytkowników i konfigurację serwisu. Stanowi to poważne naruszenie poufności danych.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 5.1.24, gdy tylko będzie dostępna, a do tego czasu rozważ wyłączenie funkcji synchronizacji lub ograniczenie dostępu subskrybentów.
Inne podatności w Smart Marketing SMS and Newsletters Forms
Oryginalny opis (angielski, źródło NVD)
The Smart Marketing SMS and Newsletters Forms plugin for WordPress is vulnerable to generic SQL Injection via Parameter Name in all versions up to, and including, 5.1.24 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with subscriber-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. Exploitation requires the plugin's sync feature to be enabled (options['enabled']) and get_option('egoi_mapping') to be truthy, both of which reflect ordinary configured states for the plugin's core contact mapping functionality.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS