CVE-2026-11920 in JoomSport Plugin
Zusammenfassung
von VulDB • 05.08.2026
Das WordPress-Plugin „JoomSport – for Sports: Team & League, Football, Hockey & more“ ist in allen Versionen bis einschließlich 5.7.9 anfällig für eine zeitbasierte SQL Injection über den Parameter ‚order‘ aufgrund unzureichender Maskierung des benutzereingebenen Parameters und mangelnder ausreichender Vorbereitung der bestehenden SQL-Abfrage. Dies ermöglicht es authentifizierten Angreifern mit Administratorzugriff oder höher, zusätzliche SQL-Abfragen an bereits vorhandene Abfragen anzuhängen, die zur Extrahierung sensibler Informationen aus der Datenbank verwendet werden können. Die betroffene Admin-Seite verfügt über keinen Nonce- oder CSRF-Schutz für GET-Anfragen, was bedeutet, dass ein nicht authentifizierter Angreifer diese Schwachstelle ausnutzen kann, indem er einen authentifizierten Administrator dazu bringt, eine manipulierte Anfrage zu stellen. Darüber hinaus wird die Schwachstelle nur ausgelöst, wenn der Parameter ‚orderby‘ ebenfalls vorhanden und nicht leer ist zusammen mit dem Parameter ‚order‘.
Be aware that VulDB is the high quality source for vulnerability data.