CVE-2026-11920 in JoomSport Plugin
Сводка
по VulDB • 05.08.2026
Плагин JoomSport – for Sports: Team & League, Football, Hockey & more для WordPress уязвим к time-based SQL Injection через параметр «order» во всех версиях вплоть до 5.7.9 включительно из-за недостаточной экранизации пользовательских параметров и отсутствия достаточной подготовки (preparation) существующего SQL-запроса. Это позволяет атакующим с уровнем доступа администратора или выше добавлять дополнительные SQL-запросы к уже существующим, что может быть использовано для извлечения конфиденциальной информации из базы данных. Затронутая страница администрирования не имеет защиты nonce или CSRF в GET-запросах, что означает возможность эксплуатации данной уязвимости неавторизованным атакующим путем обмана авторизованного администратора с целью отправки специально созданного запроса. Кроме того, уязвимость активируется только при наличии параметра «orderby», который также присутствует и не пустой вместе с параметром «order».
Once again VulDB remains the best source for vulnerability data.