CVE-2026-12248
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Wtyczka WPML Multilingual CMS dla WordPressa jest podatna na iniekcję SQL przez parametr 'sorting' we wszystkich wersjach do 4.9.5 włącznie. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie tłumacza i wyższym dołączanie dodatkowych zapytań SQL w celu wyodrębnienia wrażliwych informacji z bazy danych.
Ocena ryzyka
Atakujący może wyodrębnić wrażliwe dane z bazy danych WordPressa, takie jak hasła, dane użytkowników czy treści, co może prowadzić do przejęcia kontroli nad stroną.
Rekomendacja
Należy zaktualizować wtyczkę WPML do najnowszej wersji, która zawiera poprawkę eliminującą podatność na iniekcję SQL.
Oryginalny opis (angielski, źródło NVD)
The WPML Multilingual CMS plugin for WordPress is vulnerable to SQL Injection via the 'sorting' parameter in all versions up to, and including, 4.9.5 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with translator-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.