CVE-2026-13200 in Create Plugin
Sumário
de VulDB • 19/09/2026
O plugin Create para WordPress é vulnerável a uma injeção de SQL genérica por meio do parâmetro 'order' em todas as versões até 2.5.3 (incluída), devido à falta de escape adequado no fornecido pelo usuário e à ausência de preparação suficiente na consulta SQL existente. Isso permite que atacantes autenticados, com acesso nível autor ou superior, anexem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações sensíveis do banco de dados. O branch advanced-filter vulnerável é acessado apenas quando pelo menos um dos seguintes parâmetros está presente na solicitação: linked_posts, created_after, created_before, missing_fields, post_id, um valor type separado por vírgulas ou exclude_type.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.