CVE-2026-87866

W oprogramowaniu TSG Profleet wykryto podatność na wstrzyknięcie SQL. Atakujący może odczytywać, tworzyć, modyfikować i usuwać dane z bazy danych, wysyłając żądanie GET z parametrem 'Identificación' do endpointu '/cgi-bin/index.php'.

Wtyczka Green Popups (halfdata-green-popups) zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL. Podatność umożliwia atakującemu przeprowadzenie ślepego wstrzyknięcia SQL.

Wtyczka The Grid (the-grid) zawiera podatność typu Code Injection wynikającą z niewłaściwej kontroli generowania kodu. Podatność umożliwia atakującemu wstrzyknięcie i wykonanie dowolnych poleceń.

Wtyczka Sunshine Photo Cart – Client Photo Gallery & Photo Proofing for Photographers dla WordPressa jest podatna na wstrzyknięcie obiektu PHP we wszystkich wersjach do 3.7.4 włącznie, poprzez deserializację niezaufanych danych wejściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie obiektu PHP, jednak bez łańcucha POP w podatnej wtyczce nie ma to bezpośredniego wpływu.

Wtyczka Theme My Login dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta w wersjach do 7.2.1 włącznie. Wynika to z braku właściwej weryfikacji tożsamości użytkownika przed aktualizacją hasła, co umożliwia nieuwierzytelnionym atakującym zmianę haseł dowolnych użytkowników w konfiguracjach multi-site.

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 3.3.7 włącznie poprzez funkcję initMailPart. Wynika to z niewystarczającej walidacji typu pliku podczas zapisywania załączników e-mail IMAP, co umożliwia nieuwierzytelnionym atakującym przesłanie plików wykonywalnych i zdalne wykonanie kodu.

Wtyczka MailOptin dla WordPressa (wersje do 1.2.78.6 włącznie) jest podatna na eskalację uprawnień. Endpoint subscribe_to_email_list przyjmuje parametr optin_data[form_custom_field_mappings] bez walidacji, co pozwala nadpisać mapowanie administratora i przekazać dowolne kolumny tabeli wp_users (w tym ID i user_pass) do funkcji wp_insert_user().

Wtyczka Mang Board dla WordPressa (wersje do 2.4.4 włącznie) jest podatna na dowolne przesyłanie plików poprzez funkcję mbw_file_upload. Brak walidacji rozszerzenia pliku w parametrze image_path pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.

Wtyczka My Calendar – Accessible Event Manager dla WordPressa (wersje do 3.8.7 włącznie) jest podatna na eskalację uprawnień. Parametr mcs jest odzwierciedlany bez sanityzacji, co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć zagnieżdżony shortcode [my_calendar above=...], a następnie wywołać dowolne funkcje PHP poprzez call_user_func(), w tym edit_user(), co prowadzi do przejęcia konta administratora.

Wheels do wersji 4.1.2 pozwala na wstrzyknięcie SQL na MySQL/MariaDB z włączonym escapowaniem backslashy (brak NO_BACKSLASH_ESCAPES), gdy aplikacja przekazuje dane żądania do ścieżek inline-literal. Dotyczy to zapytań z parameterize=false, list IN oraz miejsc w where, które parser nie binduje, takich jak granice BETWEEN, argumenty funkcji i literały LIKE ESCAPE.