CVE-2026-89288

WysokieCVSS 8.6

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Fast Courier w wersji przed 5.2.4 nie sanityzuje ani nie escapuje wartości przed użyciem jej w zapytaniu SQL na nieuwierzytelnionej ścieżce REST. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie wstrzyknięcia SQL i odczytanie dowolnych danych z bazy danych.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych informacji w bazie danych, w tym danych klientów, zamówień i innych wrażliwych danych.

Rekomendacja

Zaktualizuj wtyczkę Fast Courier do wersji 5.2.4 lub nowszej.

Inne podatności w Fast Courier

CVE-2026-89289Średnie
Wtyczka Fast Courier dla WordPressa do wersji 5.2.3 nie ogranicza nieuwierzytelnionej trasy REST, która zapisuje dane realizacji zamówień. Pozwala to nieuwierzytelnionym atakującym na nadpisanie statusu kuriera i danych śledzenia widocznych dla klientów dowolnego zamówienia WooCommerce poprzez podanie jego identyfikatora.

Oryginalny opis (angielski, źródło NVD)

The Fast Courier WordPress plugin before 5.2.4 does not sanitize and escape a value before using it in a SQL query on an unauthenticated REST route, allowing unauthenticated attackers to perform SQL injection and read arbitrary data from the database.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS