CVE-2026-42740
KrytyczneStreszczenie
W podatności CVE-2026-42740 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na atak typu Blind SQL Injection w systemie Tainacan. Problem dotyczy wersji Tainacan od n/a do 1.0.3.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania dostępu do wrażliwych danych w bazie danych, co może prowadzić do poważnych naruszeń bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację systemu Tainacan do najnowszej wersji, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa aplikacji.
Inne podatności w Tainacan
Zobacz wszystkie- CVE-2026-6230Wysokie
Wtyczka Tainacan dla WordPressa jest podatna na czasową ślepą iniekcję SQL przez parametr 'geoquery' we wszystkich wersjach do 1.0.3 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.
- CVE-2026-93767Średnie
Wtyczka Tainacan dla WordPressa w wersjach do 1.3.0 włącznie jest podatna na przejście katalogowe (Directory Traversal) poprzez parametr 'guid'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może odczytać zawartość dowolnych plików na serwerze, co może ujawnić poufne informacje.
- CVE-2026-90989Średnie
Wtyczka WordPress Tainacan w wersji przed 1.4.0 nie ogranicza swoich punktów końcowych REST raportów do użytkowników z uprawnieniami zarządzania. Umożliwia to każdemu uwierzytelnionemu subskrybentowi odczytanie adresów e-mail pracowników repozytorium.
- CVE-2026-94676Wysokie
Wtyczka Tainacan do wersji 1.3.0 zawiera podatność deserializacji niezaufanych danych, która umożliwia wstrzyknięcie obiektu (Object Injection). Atakujący może wykorzystać tę podatność do wykonania złośliwego kodu lub manipulacji obiektami aplikacji.
- CVE-2026-95590Wysokie
Wtyczka Tainacan w wersjach do 1.2.0 włącznie zawiera podatność SQL Injection dostępną dla użytkowników z rolą Subscriber. Pozwala to na wstrzyknięcie kodu SQL do zapytań bazy danych.
- CVE-2025-14043Średnie
Wtyczka Tainacan dla WordPress jest podatna na nieautoryzowane tworzenie sekcji metadanych z powodu braku kontroli autoryzacji we wszystkich wersjach do 1.0.1 włącznie. Funkcja create_item_permissions_check() bezwarunkowo zwraca true, co omija uwierzytelnianie i autoryzację.
- CVE-2025-12747Średnie
Wtyczka Tainacan dla WordPressa w wersjach do 1.0.0 włącznie jest podatna na ujawnienie informacji poprzez przesłane pliki oznaczone jako prywatne, które są wystawione w wp-content bez odpowiedniej ochrony. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie potencjalnie wrażliwych informacji z plików oznaczonych jako prywatne.
- CVE-2025-12746Średnie
Wtyczka Tainacan dla WordPressa w wersjach do 1.0.0 jest podatna na odbite Cross-Site Scripting (XSS) poprzez parametr 'search' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in tainacan Tainacan tainacan allows Blind SQL Injection.This issue affects Tainacan: from n/a through <= 1.0.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS