CVE-2026-87781
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka LTL Freight Quotes dla WordPressa w wersjach przed 4.2.19 nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL, co prowadzi do wstrzyknięcia SQL możliwego do wykorzystania przez nieuwierzytelnionych użytkowników.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolne zapytania SQL, potencjalnie odczytując, modyfikując lub usuwając dane z bazy WordPressa. Może to prowadzić do wycieku danych i pełnego przejęcia serwisu.
Rekomendacja
Zaktualizuj wtyczkę LTL Freight Quotes do wersji 4.2.19 lub nowszej. Sprawdź logi bazy danych pod kątem podejrzanych zapytań.
Inne podatności w LTL Freight Quotes WordPress plugin
Zobacz wszystkie- CVE-2026-107160Nieznane
Wtyczka WordPress LTL Freight Quotes przed wersją 4.2.19 nie wykonuje żadnej kontroli autoryzacji ani sanityzacji danych wejściowych przed zapisaniem niektórych wartości z żądania. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie kodu HTML i linków, które są renderowane dla odwiedzających sklep.
- CVE-2026-107158Nieznane
Wtyczka WordPress LTL Freight Quotes przed wersją 4.2.19 nie wykonuje żadnej kontroli autoryzacji ani walidacji na jednej ze swoich tras REST, która zapisuje do bazy danych. Umożliwia to nieuwierzytelnionym użytkownikom modyfikację niektórych zapisanych ustawień wtyczki.
- CVE-2026-87780Wysokie
Wtyczka LTL Freight Quotes dla WordPressa w wersjach przed 4.2.19 nie sanityzuje ani nie escapuje wartości przesyłanych przez nieuwierzytelniony endpoint przed ich zapisaniem i wyświetleniem na stronie administracyjnej, co prowadzi do trwałego XSS wykonywanego w sesji każdego administratora, który ją wyświetli.
Oryginalny opis (angielski, źródło NVD)
The LTL Freight Quotes WordPress plugin before 4.2.19 does not sanitise and escape a parameter before using it in a SQL statement, leading to a SQL injection exploitable by unauthenticated users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS