CVE-2026-118698
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Wtyczka JoomSport dla WordPressa w wersjach do 5.7.14 włącznie jest podatna na wstrzyknięcie SQL przez parametr 'pgroup' z powodu niewystarczającego escapowania i braku przygotowania zapytania. Uwierzytelniony atakujący z rolą współautora lub wyższą może dołączać dodatkowe zapytania SQL i wydobywać poufne informacje z bazy danych.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych w bazie danych, co może prowadzić do wycieku informacji o użytkownikach i zawartości witryny.
Rekomendacja
Zaktualizuj wtyczkę JoomSport do wersji nowszej niż 5.7.14. Do czasu aktualizacji ogranicz role współautorów i monitoruj nietypowe zapytania do bazy danych.
Inne podatności w JoomSport
Zobacz wszystkie- CVE-2026-118192Średnie
Wtyczka JoomSport dla WordPressa w wersjach do 5.7.11 włącznie jest podatna na ogólną iniekcję SQL poprzez parametr 'team_id' z powodu niewystarczającej ucieczki danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym dołączanie dodatkowych zapytań SQL w celu wyodrębnienia poufnych informacji z bazy danych. Podatna ścieżka kodu jest osiągana, gdy sezon nie ma powiązanego terminu joomsport_tournament, co jest stanem domyślnym dla nowo utworzonych sezonów.
- CVE-2026-13010Średnie
Wtyczka JoomSport dla WordPressa do wersji 5.7.9 włącznie jest podatna na czasową iniekcję SQL przez atrybut 'event' shortcode'u. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym dołączanie dodatkowych zapytań SQL.
- CVE-2026-12134Średnie
Wtyczka JoomSport dla WordPressa do wersji 5.7.8 zawiera podatność polegającą na pominięciu autoryzacji. Umożliwia ona uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym tworzenie dowolnych grup sezonów oraz modyfikację istniejących nazw grup, uczestników i opcji rund. Wykorzystanie podatności wymaga uzyskania nonce (joomsportajaxnonce), które jest ujawniane na stronach frontendowych renderujących shortcode JoomSport.
- CVE-2026-12133Średnie
Wtyczka JoomSport dla WordPressa do wersji 5.7.8 włącznie zawiera lukę braku autoryzacji w funkcji AJAX joomsport_season_groupdel(). Umożliwia ona uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym usunięcie dowolnych grup JoomSport bez wymaganej kontroli uprawnień.
Oryginalny opis (angielski, źródło NVD)
The JoomSport – for Sports: Team & League, Football, Hockey & more plugin for WordPress is vulnerable to generic SQL Injection via the 'pgroup' parameter in all versions up to, and including, 5.7.14 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with contributor-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. A Contributor-level user can trigger the vulnerable code path by authoring a post containing the [jsMatchPlayerList] shortcode with a malicious pgroup value and previewing it, as WordPress allows shortcode execution during post preview for the post's author.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS