CVE-2026-88930

WysokieCVSS 8.6

Opublikowano: 11/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Wtyczka Social Web Suite dla WordPressa do wersji 4.1.12 nie wymaga ustawienia wspólnego sekretu przed akceptacją żądań przez niego autoryzowanych oraz nie sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection.

Ocena ryzyka

Ataki SQL injection mogą prowadzić do nieautoryzowanego dostępu do bazy danych, kradzieży danych lub całkowitego przejęcia kontroli nad witryną WordPress.

Rekomendacja

Zaktualizuj wtyczkę Social Web Suite do najnowszej dostępnej wersji, która zawiera poprawki zabezpieczeń. Jeśli nie jest dostępna, rozważ tymczasowe wyłączenie wtyczki do czasu wydania łatki.

Inne podatności w Social Web Suite WordPress plugin

CVE-2026-88931Średnie
Wtyczka WordPress Social Web Suite w wersji do 4.1.12 nie ogranicza, które ustawienia mogą być zapisywane przez nieuwierzytelniony endpoint. Atakujący może nadpisać dowolne opcje wtyczki, w tym wspólny sekret chroniący jej własne uprzywilejowane endpointy.

Oryginalny opis (angielski, źródło NVD)

The Social Web Suite WordPress plugin through 4.1.12 does not require its shared secret to be set before accepting requests authorised by it, and does not sanitise and escape a parameter before using it in an SQL statement, allowing unauthenticated users to perform SQL injection attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS