CVE-2026-8685
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka Infility Global dla WordPress jest podatna na iniekcję SQL przez parametry 'orderby' i 'order' w wersjach do 2.15.16 włącznie. Wynika to z niedostatecznego oczyszczania parametrów i braku odpowiedniego przygotowania zapytania SQL w funkcji show_control_data::post_list(). Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta lub wyższym mogą dodawać dodatkowe zapytania SQL, co umożliwia wyodrębnienie wrażliwych danych z bazy.
Ocena ryzyka
Ryzyko polega na możliwości wycieku wrażliwych danych z bazy WordPress przez uwierzytelnionego atakującego z niskim poziomem uprawnień.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Infility Global do wersji powyżej 2.15.16 oraz ograniczenie dostępu do panelu administracyjnego dla nieufnych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Infility Global plugin for WordPress is vulnerable to SQL Injection via the 'orderby' and 'order' parameters in all versions up to, and including, 2.15.16. This is due to insufficient escaping on user supplied parameters and lack of sufficient preparation on the existing SQL query within the show_control_data::post_list() function, which is registered as an admin menu page with only the 'read' capability. This makes it possible for authenticated attackers, with Subscriber-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.