CVE-2026-78468
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka FluentCRM Pro dla WordPressa do wersji 3.1.12 włącznie jest podatna na SQL Injection z powodu niedostatecznego escapowania parametru i braku przygotowania zapytania SQL. Uwierzytelnieni atakujący z dostępem na poziomie Autora lub wyższym mogą dodawać dodatkowe zapytania SQL, aby wyodrębnić wrażliwe informacje z bazy danych.
Ocena ryzyka
Ryzyko wycieku wrażliwych danych z bazy danych WordPressa, w tym danych użytkowników i innych poufnych informacji.
Rekomendacja
Zaktualizuj wtyczkę FluentCRM Pro do najnowszej wersji, która zawiera poprawkę, oraz ogranicz uprawnienia autorów do minimum.
Inne podatności w FluentCRM Pro
Zobacz wszystkie- CVE-2026-78277Średnie
Podatność SSRF (Server Side Request Forgery) w wtyczce FluentCRM Pro w wersjach do 3.1.12, dotykająca użytkowników z rolą subskrybenta. Umożliwia wysyłanie żądań z serwera do wewnętrznych zasobów.
- CVE-2026-78270Wysokie
Podatność na wstrzykiwanie SQL w wtyczce FluentCRM Pro w wersjach do 3.1.12. Atakujący może wykorzystać ją do manipulacji zapytaniami do bazy danych.
- CVE-2026-78271Wysokie
Podatność na eskalację uprawnień przez edytora w FluentCRM Pro w wersjach do 3.1.12. Użytkownik z rolą edytora może podnieść swoje uprawnienia do poziomu administratora.
Oryginalny opis (angielski, źródło NVD)
The FluentCRM Pro – Email Newsletter, Automation, Email Marketing, Email Campaigns, Optins, Leads, and CRM Solution plugin for WordPress is vulnerable to SQL Injection in all versions up to, and including, 3.1.12 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with Author-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.