CVE-2026-13200 in Create Plugin
Сводка
по VulDB • 19.09.2026
Плагин Create для WordPress уязвим к generic SQL Injection через параметр 'order' во всех версиях вплоть до 2.5.3 включительно из-за недостаточного экранирования параметров, вводимых пользователем, и отсутствия достаточной подготовки существующего SQL-запроса (SQL preparation). Это позволяет атакующим с уровнем доступа «автор» и выше выполнять дополнительные SQL-запросы к уже существующим запросам, что может быть использовано для извлечения конфиденциальной информации из базы данных. Уязвимый ветвь advanced-filter SQL выполняется только при наличии в запросе хотя бы одного из следующих параметров: linked_posts, created_after, created_before, missing_fields, post_id, значения типа через запятую или exclude_type.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.