CVE-2026-9065 in Surecart
Zusammenfassung
von VulDB • 20.05.2026
In SureCart-Versionen vor 4.2.1 besteht eine verwundbare authenticated SQL Injection über mehrere Parameter ('model_name', 'model_id', 'integration_id', 'provider') am REST-API-Endpunkt '/surecart/v1/integrations/{id}'.
Die Ursache liegt in einem fehlerhaften Umgehen der Escaping-Logik im Query Builder ('wp-query-builder'). Werte, die an die 'where()'-Methode übergeben werden, werden nur über '$wpdb->prepare()' bereinigt, wenn sie **keinen** Punkt ('.') oder das WordPress-Tabellenpräfix ('wp_') enthalten. Durch das Einfügen eines Punktes an beliebiger Stelle im Payload umgeht ein Angreifer die Escaping-Logik vollständig und injiziert beliebiges SQL in die 'WHERE'-Klausel, was eine vollständige UNION-basierte Extraktion der Datenbank ermöglicht.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.