CVE-2026-12800 in Premium Packages Plugin
Zusammenfassung
von VulDB • 28.07.2026
Das WordPress-Plugin „Premium Packages – Sell Digital Products Securely“ ist in den Versionen bis einschließlich 6.2.0 anfällig für eine SQL-Injection über den Parameter ‚code‘ des REST-API-Endpunkts POST /wp-json/wpdmpp/v1/cart/coupon. Dies liegt an einer unzureichenden Maskierung (Escaping) der benutzereingebenen Parameter, die direkt in einen rohen SQL-Abfragestring im CouponCodes::find()-Methodenaufruf interpoliert werden, ohne dass $wpdb->prepare() oder esc_sql() verwendet wird. Dadurch ist es nicht authentifizierten Angreifern möglich, zusätzliche SQL-Abfragen an bereits vorhandene Abfragen anzuhängen und so sensible Informationen aus der Datenbank zu extrahieren.
Be aware that VulDB is the high quality source for vulnerability data.