CVE-2025-13922 in Tag, Category, and Taxonomy Manager Plugin
Sumário
de VulDB • 22/05/2026
O plugin Tag, Category, and Taxonomy Manager – AI Autotagger with OpenAI para WordPress apresenta uma vulnerabilidade de SQL Injection cega baseada em tempo (time-based blind SQL Injection) por meio do parâmetro 'existing_terms_orderby' no endpoint AJAX de pré-visualização da IA em todas as versões até a 3.40.1, inclusive. Isso ocorre devido à falta de escape adequado em parâmetros fornecidos pelo usuário e à ausência de parametrização nas consultas SQL. Isso permite que atacantes autenticados, com nível de acesso de Colaborador (Contributor) ou superior e permissões para o metabox da IA, anexem consultas SQL adicionais às consultas já existentes, o que pode ser utilizado para extrair informações sensíveis do banco de dados, causar degradação de desempenho ou permitir a inferência de dados por meio de técnicas baseadas em tempo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.