CVE-2026-92766
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka Vitepos – Point of Sale (POS) for WooCommerce dla WordPressa jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'src_by' we wszystkich wersjach do 3.5.1 włącznie, z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Umożliwia to nieuwierzytelnionym atakującym lub uwierzytelnionym użytkownikom z dowolną rolą POS dołączenie dodatkowych zapytań SQL w celu wydobycia poufnych informacji z bazy danych.
Ocena ryzyka
Atakujący może wydobyć poufne dane z bazy, w tym informacje o klientach i transakcjach, co prowadzi do naruszenia poufności i potencjalnych konsekwencji prawnych.
Rekomendacja
Zaktualizuj wtyczkę Vitepos do wersji nowszej niż 3.5.1, która naprawia podatność, oraz wdróż walidację i parametryzację zapytań SQL w punktach końcowych REST.
Inne podatności w Vitepos – Point of Sale (POS) for WooCommerce
Oryginalny opis (angielski, źródło NVD)
The Vitepos – Point of Sale (POS) for WooCommerce plugin for WordPress is vulnerable to generic SQL Injection via the 'src_by' parameter in all versions up to, and including, 3.5.1 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. This makes it possible for unauthenticated attackers, or authenticated attackers holding any POS role (such as vtpos-cashier), to exploit the vulnerability, as the /vitepos/v1/vendor/list REST route's permission callback requires only a POS role assignment rather than any elevated WordPress capability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS