CVE-2026-78472

WysokieCVSS 8.6

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 17/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Plugin Ni WooCommerce Sales Report przed wersją 4.2.0 nie oczyszcza i nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala niezalogowanym użytkownikom przeprowadzać ataki SQL injection.

Ocena ryzyka

SQL injection może prowadzić do pełnej kompromitacji bazy danych, w tym danych klientów i zamówień.

Rekomendacja

Zaktualizuj plugin do wersji 4.2.0 lub nowszej.

Inne podatności w Ni WooCommerce Sales Report

CVE-2026-78474Średnie
Plugin Ni WooCommerce Sales Report przed wersją 4.2.0 nie ma odpowiednich kontroli uwierzytelniania/autoryzacji w jednej z procedur drukowania raportów, co pozwala niezalogowanym użytkownikom pobierać szczegóły zamówień WooCommerce oraz dane kontaktowe klientów, a także wyszukiwać zamówienia według nazwiska lub adresu e-mail klienta.

Oryginalny opis (angielski, źródło NVD)

The Ni WooCommerce Sales Report WordPress plugin before 4.2.0 does not sanitise and escape a parameter before using it in a SQL statement, allowing unauthenticated users to perform SQL injection attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS