CVE-2026-78193
WysokieCVSS 7.5Streszczenie
Wtyczka JTL-Connector for WooCommerce dla WordPressa w wersjach do 2.4.3 włącznie jest podatna na czasową iniekcję SQL (time-based SQL Injection) poprzez punkt końcowy 'product.push' Identity Endpoint. Z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych. Iniekcja następuje podczas łączenia tożsamości, zanim wykona się ProductController::push(), więc wykorzystanie udaje się nawet jeśli dalsze przetwarzanie produktu odrzuciłoby żądanie.
Ocena ryzyka
Atakujący może wyodrębnić poufne dane z bazy danych, w tym dane klientów, zamówień lub poświadczenia. Ryzyko jest wysokie, ponieważ wykorzystanie nie wymaga uwierzytelnienia i może prowadzić do wycieku danych.
Rekomendacja
Zaktualizuj wtyczkę JTL-Connector for WooCommerce do wersji nowszej niż 2.4.3, gdy tylko będzie dostępna. Do tego czasu rozważ ograniczenie dostępu do punktu końcowego 'product.push' lub jego wyłączenie.
Inne podatności w JTL-Connector for WooCommerce
Zobacz wszystkie- CVE-2026-87855Krytyczne
Wtyczka JTL-Connector dla WooCommerce do wersji 2.4.3 włącznie jest podatna na dowolne przesyłanie plików przez funkcję saveImage(). Wynika to z akceptowania pustego parametru jtlauth jako prawidłowego poświadczenia oraz niewystarczającej walidacji typów plików w handleImagePush(). Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-9234Średnie
Wtyczka JTL-Connector dla WooCommerce do wersji 2.4.1 ma lukę w autoryzacji. Brakuje sprawdzania uprawnień i weryfikacji nonce w kilku akcjach administracyjnych. Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta lub wyższym mogą modyfikować ustawienia wtyczki, pobierać archiwum ZIP plików dziennika i usuwać te pliki.
Oryginalny opis (angielski, źródło NVD)
The JTL-Connector for WooCommerce plugin for WordPress is vulnerable to time-based SQL Injection via 'product.push' Identity Endpoint in all versions up to, and including, 2.4.3 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. The injection fires during identity linking, before ProductController::push() executes, meaning exploitation succeeds even if downstream product handling would otherwise reject the request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS