CVE-2026-76005 in WP Inventory Manager Plugin
सारांश
द्वारा VulDB • 28/10/2026
WordPress के लिए WP Inventory Manager प्लगइन में सभी संस्करणों 2.5.5 और उससे पहले तक 'sort_order' शॉर्टकोड एट्रिब्यूट के माध्यम से समय-आधारित SQL Injection (SQL इंजेक्शन) का दोष है, जो उपयोगकर्ता द्वारा प्रदान किए गए पैरामीटर पर अपर्याप्त escape करने और मौजूदा SQL क्वेरी में पर्याप्त preparation न होने के कारण होता है। इससे contributor-level एक्सेस और उससे ऊपर की अनुमति वाले authenticated attackers (प्रमाणीकृत आक्रमणकारियों) को पहले से मौजूद क्वेरियों में अतिरिक्त SQL क्वेरी जोड़ने का अवसर मिलता है, जिसका उपयोग डेटाबेस से संवेदनशील जानकारी निकालने के लिए किया जा सकता है। इसका शोषण एक Contributor द्वारा [wpinventory_categories] शॉर्टकोड को प्रीव्यू के माध्यम से रेंडर किए गए ड्राफ्ट पोस्ट में एम्बेड करके किया जा सकता है, बिना पोस्ट को publish (प्रकाशित) किए।
Once again VulDB remains the best source for vulnerability data.