CVE-2026-28142
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Nieuwierzytelniona podatność na wstrzykiwanie SQL w wtyczce Web Directory Free w wersjach do 1.7.13. Atakujący może wykonać dowolne zapytania SQL bez logowania.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do bazy danych, co może prowadzić do wycieku danych, ich modyfikacji lub usunięcia.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji. Ogranicz dostęp do panelu administracyjnego i monitoruj logi pod kątem podejrzanych zapytań.
Inne podatności w Web Directory Free
Zobacz wszystkie- CVE-2026-14785Wysokie
Wtyczka Web Directory Free dla WordPressa w wersjach do 1.7.13 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'levels'. Brak odpowiedniego oczyszczania danych wejściowych i przygotowania zapytań SQL umożliwia nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
- CVE-2025-69018Średnie
Podatność typu Cross-site Scripting (DOM-Based) w wtyczce Web Directory Free (wersje do 1.7.12 włącznie) wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce użytkownika.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated SQL Injection in Web Directory Free <= 1.7.13 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS