CVE-2026-42414
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka ListingPro w wersjach do 2.9.12 włącznie zawiera podatność typu SQL Injection, którą może wykorzystać użytkownik z rolą Subscriber. Luka pozwala na wstrzyknięcie złośliwych zapytań SQL do bazy danych.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może odczytać, zmodyfikować lub usunąć dane z bazy danych, co może prowadzić do wycieku informacji lub przejęcia serwisu. Ryzyko dotyczy wszystkich witryn z podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę ListingPro do wersji nowszej niż 2.9.12. W przypadku braku poprawki rozważ ograniczenie rejestracji użytkowników lub wyłączenie wtyczki.
Inne podatności w ListingPro
Zobacz wszystkie- CVE-2026-39438Krytyczne
W wersjach ListingPro do 2.9.10 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-65478Średnie
Wtyczka ListingPro w wersjach do 2.9.10 zawiera podatność na złamanie kontroli dostępu przez użytkownika z rolą Subskrybent. Osoba atakująca z takimi uprawnieniami może ominąć mechanizmy kontroli dostępu.
- CVE-2025-63047Średnie
Brak autoryzacji w motywie ListingPro od CridioStudio umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.9.9 włącznie.
- CVE-2025-63046Średnie
Podatność typu DOM-Based XSS w wtyczce ListingPro pozwala na wstrzykiwanie złośliwego skryptu do strony generowanej przez wtyczkę. Atakujący może wykorzystać to do wykonania skryptu w przeglądarce ofiary.
- CVE-2025-60103Średnie
Wtyczka ListingPro do WordPressa posiada podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.9.8 włącznie.
Oryginalny opis (angielski, źródło NVD)
Subscriber SQL Injection in ListingPro <= 2.9.12 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS