CVE-2026-94177
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka GamiPress zawiera podatność SQL Injection typu Blind wynikającą z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji od n/a do 8.0.2.
Ocena ryzyka
Atakujący może wykonać nieautoryzowane zapytania SQL, potencjalnie ujawniając lub modyfikując dane w bazie danych.
Rekomendacja
Zaktualizuj GamiPress do wersji nowszej niż 8.0.2, która zawiera poprawkę neutralizacji elementów SQL.
Inne podatności w GamiPress
Zobacz wszystkie- CVE-2026-59538Krytyczne
Wtyczka GamiPress dla WordPressa w wersji 7.9.7 i starszych zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL.
- CVE-2026-112837Wysokie
Wtyczka GamiPress zawiera podatność SQL Injection (ślepą) wynikającą z niewłaściwej neutralizacji elementów specjalnych w zapytaniach SQL. Atakujący może wstrzykiwać własne zapytania do bazy danych.
- CVE-2026-15439Średnie
Wtyczka GamiPress dla WordPressa w wersjach do 7.9.7 włącznie jest podatna na uwierzytelnioną (Subscriber+) iniekcję SQL poprzez parametr 'q' selektora AJAX integracji wpForo (akcja gamipress_wpforo_get_posts). Wartość przechodzi tylko przez $wpdb->esc_like() i jest wstawiana bezpośrednio do klauzuli LIKE w pojedynczych cudzysłowach bez placeholdera %s, co pozwala na ucieczkę z ciągu i wstrzyknięcie SQL opartego na wartościach logicznych.
- CVE-2026-16091Średnie
Wtyczka GamiPress dla WordPressa do wersji 7.9.9.1 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez shortcode 'gamipress_rank'. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.
- CVE-2026-16090Średnie
Wtyczka GamiPress dla WordPress jest podatna na przechowywane ataki XSS przez atrybut shortcode 'heading_size' w 'gamipress_achievement'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.
- CVE-2026-13450Średnie
Wtyczka GamiPress dla WordPressa do wersji 7.9.4 włącznie zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'access'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia nieuwierzytelnionym atakującym odczyt prywatnych wpisów dziennika aktywności GamiPress, w tym zdobytych odznak, zmian salda punktów i zdarzeń z zintegrowanych wtyczek.
- CVE-2026-48874Wysokie
Wersje GamiPress do 7.8.7 zawierają podatność na atak typu SQL Injection, który może być wykorzystany przez subskrybentów.
- CVE-2026-24546Średnie
Brak autoryzacji we wtyczce GamiPress umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Podatność dotyczy wersji od n/a do 7.6.3.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Ruben Garcia GamiPress gamipress allows Blind SQL Injection.This issue affects GamiPress: from n/a through 8.0.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS