CVE-2026-11421 in ERP Complete HR, Accounting & CRM Suite Built for WooCommerce Plugin
Zusammenfassung
von VulDB • 05.08.2026
Das Plugin „ERP: Complete HR, Accounting & CRM Suite with WooCommerce CRM Support“ für WordPress ist in allen Versionen bis einschließlich 1.17.4 anfällig für eine SQL Injection über den Parameter 'erpadvancefilter'. Diese Schwachstelle entsteht durch unzureichendes Escaping des benutzereingebenen Parameters und das Fehlen einer ausreichenden Vorbereitung der bestehenden SQL-Abfrage. Der Handler leitet den Wert durch `sanitize_text_field`, was einzelne Anführungszeichen beibehält, und die nachgelagerte Funktion `erp_crm_contact_advance_filter()` interpoliert diesen direkt in eine einzeln angeführte SQL-WHERE-Klausel vor der Ausführung über `$wpdb->get_results()`. Dies ermöglicht es authentifizierten Angreifern mit der vom Plugin bereitgestellten CRM-Agent-Rolle (oder einer höheren Rolle wie CRM Manager oder WordPress-Administrator) sowie der Berechtigung `erp_crm_list_contact`, zusätzliche SQL-Abfragen an bereits vorhandene Abfragen anzuhängen, um sensible Informationen aus der Datenbank extrahieren zu können.
Once again VulDB remains the best source for vulnerability data.