CVE-2026-59525

Wtyczka Participants Database (participants-database) dla WordPress od xnau webdesign do wersji 2.7.8.5 zawiera lukę obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji od n/a do 2.7.8.5.

Wtyczka Participants Database (participants-database) dla WordPressa firmy xnau webdesign jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektu (Object Injection). Podatność dotyczy wersji do 2.7.8.5 włącznie.

Wtyczka Participants Database (participants-database) dla WordPressa firmy xnau webdesign zawiera podatność SQL Injection (niewłaściwa neutralizacja elementów specjalnych w poleceniu SQL), umożliwiającą ślepą iniekcję SQL. Podatność dotyczy wersji do 2.7.8.5 włącznie.

Wtyczka Participants Database dla WordPressa przed wersją 2.7.8.4 nieprawidłowo sanityzuje i koduje parametr dostarczony przez użytkownika przed użyciem go w zapytaniu SQL. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków SQL injection.

Wtyczka Participants Database w wersjach do 2.7.8.3 umożliwia nieuwierzytelnione usuwanie dowolnych plików.

Wtyczka Participants Database w wersjach do 2.7.8.4 umożliwia nieuwierzytelnionym użytkownikom usuwanie dowolnych plików z serwera.

Wtyczka Participants Database dla WordPress do wersji 2.7.8.3 jest podatna na ujawnienie wrażliwych informacji przez parametr 'id'. Nieuwierzytelniony atakujący może nadpisać dowolny rekord uczestnika i przechwycić link dostępu do danych osobowych, uzyskując pełny odczyt i edycję.

Wtyczka Participants Database dla WordPressa w wersji 2.7.8.4 i starszych zawiera podatność na złamaną kontrolę dostępu, którą może wykorzystać użytkownik z rolą Subskrybenta.

Wtyczka Participants Database od xnau webdesign ma podatność na trwały XSS (Stored XSS) z powodu nieprawidłowego neutralizowania danych wejściowych podczas generowania strony. Dotyczy wersji do 2.7.6.3 włącznie.