CVE-2026-25434
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka WP2LEADS w wersjach do 3.5.7 włącznie zawiera podatność typu SQL Injection, którą może wykorzystać atakujący z uprawnieniami subskrybenta. Brak odpowiedniej walidacji danych wejściowych pozwala na wstrzyknięcie złośliwych zapytań SQL.
Ocena ryzyka
Atakujący może odczytać, zmodyfikować lub usunąć dane z bazy danych, co może prowadzić do wycieku informacji lub utraty integralności danych. Może to również umożliwić eskalację uprawnień w obrębie aplikacji.
Rekomendacja
Zaktualizuj wtyczkę WP2LEADS do wersji nowszej niż 3.5.7 po udostępnieniu poprawki. W międzyczasie rozważ ograniczenie możliwości rejestracji subskrybentów lub wdrożenie reguł WAF wykrywających próby SQL Injection.
Inne podatności w WP2LEADS
Zobacz wszystkie- CVE-2025-9462Średnie
Wtyczka WP2LEADS dla WordPressa jest podatna na czasową SQL Injection poprzez parametr 'order' w wersjach do 3.5.6 włącznie z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może dołączyć dodatkowe zapytania SQL w celu wyodrębnienia poufnych informacji z bazy danych.
- CVE-2026-25433Wysokie
Podatność Broken Access Control w WP2LEADS do wersji 3.5.7 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.
Oryginalny opis (angielski, źródło NVD)
Subscriber SQL Injection in WP2LEADS <= 3.5.7 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS