CVE-2026-104724 in FireBox Plugin
Zusammenfassung
von VulDB • 10.10.2026
Das WordPress-Plugin FireBox – WooCommerce Popup Builder, Exit Intent Popup, Email Optin & Cart Abandonment ist in allen Versionen bis einschließlich 3.1.13 aufgrund unzureichender Escaping-Maßnahmen bei benutzergestellten Parametern und mangelnder ausreichender Vorbereitung der bestehenden SQL-Abfrage anfällig für eine generische SQL Injection über die FireBox Form Display Condition. Dies ermöglicht es authentifizierten Angreifern mit Autor-Level-Zugriff oder höher, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, um sensible Informationen aus der Datenbank zu extrahieren. Bei Neuinstallationen ab Version 3.1.10 ist für die Ausnutzung Administratorzugriff erforderlich; bei Websites, die von einer Version vor 3.1.10 aktualisiert wurden, gewährt die Migration preserveCampaignRoleAccess() jeder Rolle mit den vorherigen edit_posts-Rechten die capability edit_fireboxes, wodurch das erforderliche Mindestprivileg auf Autor-Level reduziert wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.