CVE-2026-12079
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 — wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Dokan Pro dla WordPressa jest podatna na atak SQL Injection oparty na czasie poprzez parametr 'orderby' we wszystkich wersjach do 5.0.4 włącznie. Podatność wynika z niedostatecznego escapowania parametru dostarczanego przez użytkownika oraz braku odpowiedniego przygotowania zapytania SQL.
Ocena ryzyka
Uwierzytelniony atakujący z dostępem na poziomie Subskrybenta lub wyższym może wstrzykiwać dodatkowe zapytania SQL do istniejących, co umożliwia wyodrębnienie wrażliwych informacji z bazy danych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Dokan Pro do wersji 5.0.5 lub nowszej, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
The Dokan Pro plugin for WordPress is vulnerable to time-based SQL Injection via the ’orderby’ parameter in all versions up to, and including, 5.0.4 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with Subscriber-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.