CVE-2026-105889
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność typu Blind SQL Injection w wtyczce Tickera do systemu biletowego. Nieprawidłowa neutralizacja specjalnych elementów w zapytaniach SQL pozwala atakującemu na ślepe wstrzyknięcie kodu SQL. Dotyczy wersji do 3.6.0.6.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do danych w bazie danych, w tym danych klientów i transakcji, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj wtyczkę Tickera do najnowszej wersji, która zawiera poprawkę. Jeśli nie jest dostępna, ogranicz dostęp do panelu administracyjnego i zastosuj dodatkowe zabezpieczenia, takie jak firewall aplikacji.
Inne podatności w Tickera
Zobacz wszystkie- CVE-2026-15448Średnie
Wtyczka Tickera – Sell Tickets & Manage Events dla WordPressa w wersjach do 3.6.0.1 zawiera podatność na wstrzykiwanie SQL przez parametr 'tc_order_status_filter', umożliwiającą uwierzytelnionym użytkownikom z dostępem na poziomie personelu i wyższym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
- CVE-2026-82226Krytyczne
W Tickera w wersjach do 3.6.0.2 wykryto podatność na wstrzykiwanie obiektów PHP (PHP Object Injection) bez uwierzytelnienia. Podatność może pozwolić atakującemu na zdalne wykonanie kodu lub inne nieautoryzowane działania.
- CVE-2025-69355Średnie
Wtyczka Tickera (tickera-event-ticketing-system) w wersjach do 3.5.6.4 włącznie zawiera lukę braku autoryzacji. Pozwala ona na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2025-58611Średnie
Wtyczka Tickera (tickera-event-ticketing-system) w wersjach do 3.5.5.6 włącznie zawiera podatność Cross-Site Request Forgery (CSRF). Pozwala ona na wykonanie niepożądanych akcji w imieniu zalogowanego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Tickera Tickera tickera-event-ticketing-system allows Blind SQL Injection.This issue affects Tickera: from n/a through 3.6.0.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS