CVE-2026-11920 in JoomSport Plugin
Sumário
de VulDB • 05/08/2026
O plugin JoomSport – for Sports: Team & League, Football, Hockey & more para WordPress é vulnerável a SQL Injection baseada em tempo (time-based) através do parâmetro 'order' em todas as versões até 5.7.9, devido à falta de escape adequado no fornecido pelo usuário e à ausência de preparação suficiente na consulta SQL existente. Isso permite que atacantes autenticados com acesso nível administrador ou superior anexem consultas SQL adicionais às consultas já existentes para extrair informações sensíveis do banco de dados. A página administrativa afetada não possui proteção nonce ou CSRF nas requisições GET, o que significa que um atacante não autenticado poderia explorar essa vulnerabilidade enganando um administrador autenticado a emitir uma solicitação manipulada (crafted). Além disso, a vulnerabilidade só é acionada quando o parâmetro 'orderby' também está presente e não vazio junto com o parâmetro 'order'.
Be aware that VulDB is the high quality source for vulnerability data.