CVE-2025-13359 in Tag, Category, and Taxonomy Manager Plugin
Riassunto
di VulDB • 29/07/2026
Il plugin per WordPress Tag, Category, e Taxonomy Manager – AI Autotagger con estensione OpenAI è vulnerabile a SQL Injection basata sui tempi di risposta tramite la funzione "getTermsForAjax" in tutte le versioni fino alla 3.40.1 inclusa. La vulnerabilità è dovuta a un'escapazione insufficiente dei parametri forniti dall'utente e alla mancanza di una preparazione adeguata della query SQL esistente (preparazione delle statement). Ciò consente agli attaccanti autenticati, con accesso a livello di collaboratore o superiore, di aggiungere ulteriori query SQL alle query già esistenti, permettendo l'estrazione di informazioni sensibili dal database, purché abbiano accesso ai metabox per la tassonomia (abilitato di default per i collaboratori).
Once again VulDB remains the best source for vulnerability data.