CVE-2025-12483
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Visualizer: Tables and Charts Manager dla WordPressa w wersjach do 3.11.12 włącznie jest podatna na wstrzyknięcie SQL poprzez parametr 'query' z powodu niewystarczającego escapowania i braku przygotowania zapytania. Uwierzytelnieni atakujący z poziomem Contributor lub wyższym mogą dołączać dodatkowe zapytania SQL i wyodrębniać poufne informacje z bazy danych. Wersja 3.11.13 podnosi minimalny poziom uprawnień do administratora, a 3.11.14 całkowicie naprawia podatność.
Ocena ryzyka
Może to prowadzić do nieautoryzowanego dostępu do danych w bazie danych, w tym danych użytkowników i konfiguracji, przez użytkowników o niskich uprawnieniach.
Rekomendacja
Zaktualizuj wtyczkę Visualizer do wersji 3.11.14 lub nowszej, która całkowicie naprawia podatność.
Inne podatności w Visualizer
Zobacz wszystkie- CVE-2026-86784Średnie
Wtyczka WordPress Visualizer w wersji przed 4.0.8 nie sanityzuje ani nie escapuje konfiguracji źródła danych JSON wykresu przed wyświetleniem jej w edytorze wykresów. Użytkownicy z rolą Contributor i wyższą mogą zapisać JavaScript, który wykonuje się w przeglądarce każdego użytkownika o wyższych uprawnieniach, np. administratora, przeglądającego dotknięty wykres.
- CVE-2026-86782Średnie
Wtyczka Visualizer dla WordPressa w wersjach przed 4.0.6 nieprawidłowo autoryzuje dostęp do działań związanych z budowaniem wykresów. Umożliwia to użytkownikom z rolą Contributor i wyższą publikowanie, zmianę nazw i nadpisywanie treści wpisów i stron, których nie są właścicielami, w tym prywatnych szkiców innych użytkowników.
- CVE-2026-19726Średnie
Wtyczka Visualizer dla WordPressa przed wersją 4.0.7 nieprawidłowo autoryzuje dostęp do konfiguracji wykresów, umożliwiając użytkownikom z rolą Współautor i wyżej odczytanie pełnej konfiguracji dowolnego wykresu na stronie, w tym wykresów, do których interfejs wtyczki nie daje im dostępu, oraz pobranie konfiguracji wszystkich wykresów w jednym żądaniu. Ujawniona konfiguracja może zawierać poświadczenia zdalnego źródła danych.
- CVE-2026-65526Wysokie
Wtyczka Visualizer dla WordPressa (wersje do 4.0.1 włącznie) zawiera podatność na blind SQL Injection przez niewłaściwe neutralizowanie specjalnych elementów w zapytaniach SQL.
- CVE-2026-24573Średnie
Wtyczka WordPress Visualizer przed wersją 4.0.0 zawiera podatność na trwałe XSS (Stored Cross-Site Scripting) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.
Oryginalny opis (angielski, źródło NVD)
The Visualizer: Tables and Charts Manager for WordPress plugin for WordPress is vulnerable to SQL Injection via the 'query' parameter in all versions up to, and including, 3.11.12 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with Contributor-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. Version 3.11.13 raises the minimum user-level for exploitation to administrator. 3.11.14 fully patches the vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS