CVE-2026-59549
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Wtyczka rtMedia dla WordPress, BuddyPress i bbPress w wersji 4.7.10 i starszych zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolne zapytania SQL, co może prowadzić do wycieku danych, modyfikacji bazy danych lub przejęcia kontroli nad witryną.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę rtMedia do najnowszej dostępnej wersji, która zawiera poprawkę.
Inne podatności w rtMedia
Zobacz wszystkie- CVE-2026-16482Wysokie
Wtyczka rtMedia dla WordPressa, BuddyPress i bbPress w wersjach do 4.7.11 włącznie jest podatna na czasową ślepą iniekcję SQL poprzez parametr 'compare' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to nieuwierzytelnionemu atakującemu dołączenie dodatkowych zapytań SQL do istniejących zapytań w celu wyodrębnienia poufnych informacji z bazy danych. Podatność jest wykorzystywana na dowolnej publicznej stronie zawierającej shortcode rtMedia (np. [rtmedia_gallery]) przy ustawionym parametrze GET rtmedia_shortcode, ponieważ RTMediaQuery::query() scala $_REQUEST z wewnętrznym zapytaniem, walidując tylko klucze najwyższego poziomu.
- CVE-2025-9218Niskie
Wtyczka rtMedia dla WordPress, BuddyPress i bbPress w wersjach 4.7.0 do 4.7.3 jest podatna na ujawnienie informacji z powodu braku autoryzacji w funkcji handle_rest_pre_dispatch(), gdy aktywna jest wtyczka Godam. Pozwala to nieuwierzytelnionym atakującym na pobieranie elementów multimedialnych powiązanych z wersjami roboczymi lub prywatnymi wpisami.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated SQL Injection in rtMedia for WordPress, BuddyPress and bbPress <= 4.7.10 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS