CVE-2026-14785
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Web Directory Free dla WordPressa w wersjach do 1.7.13 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'levels'. Brak odpowiedniego oczyszczania danych wejściowych i przygotowania zapytań SQL umożliwia nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
Ocena ryzyka
Atakujący może wyodrębnić wrażliwe dane z bazy danych, takie jak hasła użytkowników czy dane konfiguracyjne, bez konieczności uwierzytelniania.
Rekomendacja
Należy zaktualizować wtyczkę Web Directory Free do wersji 1.7.14 lub nowszej, która zawiera poprawkę.
Inne podatności w Web Directory Free
Zobacz wszystkie- CVE-2026-28142Krytyczne
Nieuwierzytelniona podatność na wstrzykiwanie SQL w wtyczce Web Directory Free w wersjach do 1.7.13. Atakujący może wykonać dowolne zapytania SQL bez logowania.
- CVE-2025-69018Średnie
Podatność typu Cross-site Scripting (DOM-Based) w wtyczce Web Directory Free (wersje do 1.7.12 włącznie) wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce użytkownika.
Oryginalny opis (angielski, źródło NVD)
The Web Directory Free plugin for WordPress is vulnerable to generic SQL Injection via the 'levels' parameter in all versions up to, and including, 1.7.13 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS