CVE-2026-3430

WysokieCVSS 8.6

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 06/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Wtyczka Creative Mail dla WordPressa w wersjach od 1.6.5 do 1.6.9 nie sanityzuje i nie escapuje parametru przed użyciem w zapytaniu SQL, co prowadzi do nieuwierzytelnionej iniekcji SQL, gdy zarządzany jest e-mail porzuconego koszyka przez creative mail.

Ocena ryzyka

Ryzyko obejmuje możliwość nieautoryzowanego dostępu do bazy danych, co może prowadzić do wycieku danych, modyfikacji lub usunięcia danych. Atak nie wymaga uwierzytelnienia, więc może być przeprowadzony przez każdego.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki Creative Mail do najnowszej wersji, która zawiera poprawkę. Należy również sprawdzić logi pod kątem podejrzanych zapytań SQL.

Inne podatności w Creative Mail

CVE-2026-3985Wysokie
Wtyczka Creative Mail – Easier WordPress & WooCommerce Email Marketing dla WordPress w wersjach do 1.6.9 zawiera podatność na iniekcję SQL przez parametr 'checkout_uuid'. Wynika to z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL w metodzie has_checkout_consent().

Oryginalny opis (angielski, źródło NVD)

The Creative Mail WordPress plugin from 1.6.5 to 1.6.9 does not sanitize and escape a parameter before using in an SQL statement, leading to an unauthenticated SQL injection when the abandoned cart email is managed by creative mail.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS