CVE-2026-96346
WysokieCVSS 7.6Streszczenie
Podatność SQL Injection w wtyczce WP ERP w wersjach do 1.17.9, która może być wykorzystana przez użytkownika z rolą autora.
Ocena ryzyka
Autor może wstrzyknąć złośliwe zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych, kradzieży danych lub ich modyfikacji.
Rekomendacja
Zaleca się aktualizację wtyczki WP ERP do wersji, która eliminuje tę podatność.
Inne podatności w WP ERP
Zobacz wszystkie- CVE-2026-96343Wysokie
Podatność PHP Object Injection w wtyczce WP ERP w wersjach do 1.17.9, która może być wykorzystana przez niestandardową rolę użytkownika.
- CVE-2026-25448Średnie
Wtyczka WP ERP (weDevs) do wersji 1.17.10 zawiera podatność typu Missing Authorization wynikającą z niewystarczającej kontroli dostępu. Pozwala ona na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-59522Średnie
Wtyczka WP ERP w wersji 1.17.5 i starszych pozwala użytkownikom z rolą subskrybenta na złamanie kontroli dostępu. Subskrybent może uzyskać nieuprawnione uprawnienia.
- CVE-2026-13011Średnie
Wtyczka ERP: Complete HR, Accounting & CRM Suite z Recruitment i WooCommerce CRM Support dla WordPress jest podatna na ogólne wstrzykiwanie SQL przez parametr 'orderby' we wszystkich wersjach do 1.17.5 włącznie. Podatność wynika z niedostatecznego oczyszczania parametru i braku odpowiedniego przygotowania zapytania SQL, co umożliwia uwierzytelnionym atakującym z dostępem na poziomie custom i wyższym dołączanie dodatkowych zapytań SQL do istniejących.
- CVE-2025-63008Średnie
Wtyczka WP ERP (wersje do 1.16.7 włącznie) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Pozwala to na wykorzystanie błędnie skonfigurowanych mechanizmów autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Author SQL Injection in WP ERP <= 1.17.9 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS