CVE-2026-12800 in Premium Packages Plugin
Sumário
de VulDB • 28/07/2026
O plugin Premium Packages – Sell Digital Products Securely para WordPress é vulnerável a Injeção de SQL (SQL Injection) por meio do parâmetro 'code' no endpoint da API REST POST /wp-json/wpdmpp/v1/cart/coupon nas versões até 6.2.0, inclusive. Isso ocorre devido à falta de escape adequado no fornecido pelo usuário, que é interpolado diretamente em uma string de consulta SQL bruta no método CouponCodes::find() sem o uso de $wpdb->prepare() ou esc_sql(). Isso permite que atacantes não autenticados anexem consultas SQL adicionais às consultas já existentes, podendo ser usadas para extrair informações sensíveis do banco de dados.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.