CVE-2026-81756

KrytyczneCVSS 9.3

Opublikowano: 31/08/2026(UTC)Zaktualizowano: 02/09/2026(UTC)Przetłumaczono: 01/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

W Smart Marketing SMS and Newsletters Forms w wersjach do 5.1.24 wykryto podatność na nieuwierzytelnione wstrzykiwanie SQL (SQL Injection). Podatność może pozwolić atakującemu na manipulację zapytaniami do bazy danych.

Ocena ryzyka

Atakujący może uzyskać nieautoryzowany dostęp do danych w bazie, modyfikować je lub usunąć, co może prowadzić do naruszenia poufności i integralności danych.

Rekomendacja

Należy zaktualizować Smart Marketing SMS and Newsletters Forms do najnowszej wersji z poprawką. Dodatkowo należy stosować parametryzowane zapytania i ograniczyć uprawnienia bazy danych.

Inne podatności w Smart Marketing SMS and Newsletters Forms

CVE-2026-77161Średnie
Wtyczka Smart Marketing SMS and Newsletters Forms dla WordPressa jest podatna na wstrzyknięcie SQL (SQL Injection) poprzez nazwę parametru we wszystkich wersjach do 5.1.24 włącznie, z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może dołączać dodatkowe zapytania SQL do istniejących zapytań i wyciągać poufne dane z bazy danych. Wykorzystanie wymaga włączonej funkcji synchronizacji wtyczki oraz niepustej opcji egoi_mapping.

Oryginalny opis (angielski, źródło NVD)

Unauthenticated SQL Injection in Smart Marketing SMS and Newsletters Forms <= 5.1.24 versions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS