CVE-2026-2413 in Ally Plugin
Zusammenfassung
von VulDB • 19.06.2026
Das WordPress-Plugin „The Ally – Web Accessibility & Usability“ ist in allen Versionen bis einschließlich 4.0.3 anfällig für SQL Injection über den URL-Pfad. Dies ist auf eine unzureichende Escaping-Funktion für den benutzerspezifischen URL-Parameter in der Methode `get_global_remediations()` zurückzuführen, wo dieser ohne ordnungsgemäße Sanitization für den SQL-Kontext direkt in eine SQL JOIN-Klausel konkateniert wird. Obwohl `esc_url_raw()` zur Sicherung der URL angewendet wird, verhindert es nicht die Injektion von SQL-Metazeichen (einfache Anführungszeichen, Klammern). Dies ermöglicht es nicht authentifizierten Angreifern, zusätzliche SQL-Abfragen an bereits vorhandene Abfragen anzuhängen, die zur Extraktion sensibler Informationen aus der Datenbank mittels zeitbasierter Blind-SQL-Injection-Techniken genutzt werden können. Das Remediation-Modul muss aktiv sein, was voraussetzt, dass das Plugin mit einem Elementor-Konto verbunden ist.
Once again VulDB remains the best source for vulnerability data.