CVE-2026-66478
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Wtyczka Church Admin w wersjach do 5.1.1 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL (SQL Injection). Osoba atakująca bez logowania może wysyłać specjalnie spreparowane zapytania, które mogą manipulować bazą danych.
Ocena ryzyka
Atakujący może odczytać, zmodyfikować lub usunąć dane z bazy danych, co może prowadzić do naruszenia poufności, integralności i dostępności danych. Może to również umożliwić przejęcie kont administratora lub całej witryny.
Rekomendacja
Zaktualizuj wtyczkę Church Admin do najnowszej wersji, która zawiera poprawkę. Jeśli nie jest dostępna, natychmiast ogranicz dostęp do wtyczki i monitoruj logi bazy danych pod kątem podejrzanych zapytań.
Inne podatności w Church Admin
Zobacz wszystkie- CVE-2026-94421Średnie
Wtyczka Church Admin dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'email' we wszystkich wersjach do 5.1.2 włącznie. Podatność wynika z niewystarczającej sanityzacji i escapowania danych, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym na wstrzyknięcie skryptów.
- CVE-2026-61983Średnie
Wtyczka Church Admin dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 5.0.30 włącznie.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated SQL Injection in Church Admin <= 5.1.1 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS