CVE-2026-115281

ŚrednieCVSS 6.8

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 28/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Wtyczka Recipe Card Blocks Lite dla WordPressa w wersjach przed 3.6.4 nie sanityzuje ani nie rzutuje atrybutu bloku i shortcode przed wstawieniem go do zapytań SQL. Umożliwia to uwierzytelnionym użytkownikom z rolą Contributor lub wyższą przeprowadzanie ataków SQL injection.

Ocena ryzyka

Użytkownik z niskimi uprawnieniami może wstrzyknąć dowolne zapytania SQL i odczytać zawartość bazy danych WordPressa, w tym dane innych użytkowników i hasła.

Rekomendacja

Zaktualizuj wtyczkę Recipe Card Blocks Lite do wersji 3.6.4 lub nowszej. Rozważ ograniczenie liczby kont z rolą Contributor do niezbędnego minimum.

Inne podatności w Recipe Card Blocks Lite

CVE-2026-3011Średnie
Wtyczka Recipe Card Blocks Lite dla WordPressa do wersji 3.4.13 jest podatna na przechowywane ataki XSS poprzez atrybuty 'summary' i 'notes' bloku przepisu. Metoda WPZOOM_Helpers::deserialize_block_attributes konwertuje sekwencje unicode na znaki HTML po zastosowaniu sanityzacji, co umożliwia uwierzytelnionym atakującym z dostępem na poziomie autora lub wyższym wstrzyknięcie dowolnych skryptów.

Oryginalny opis (angielski, źródło NVD)

The Recipe Card Blocks Lite WordPress plugin before 3.6.4 does not sanitize and cast a block and shortcode attribute before concatenating it into SQL queries, allowing authenticated users with Contributor-level access or above to perform SQL injection attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS