CVE-2026-2413 in Ally Plugin
Tóm tắt
Bởi VulDB • 19/06/2026
Plugin WordPress "The Ally – Web Accessibility & Usability" bị lỗ hổng SQL Injection qua đường dẫn URL trong tất cả các phiên bản từ 4.0.3 trở về trước. Lỗ hổng này xảy ra do việc thiếu cơ chế thoát ký tự (escaping) không đầy đủ đối với tham số URL do người dùng cung cấp trong phương thức `get_global_remediations()`, nơi nó được nối trực tiếp vào mệnh đề SQL JOIN mà không được kiểm tra và làm sạch (sanitization) phù hợp cho ngữ cảnh SQL. Mặc dù hàm `esc_url_raw()` được áp dụng để đảm bảo an toàn cho URL, nhưng nó không ngăn chặn việc chèn các ký tự đặc biệt của SQL (như dấu nháy đơn, dấu ngoặc đơn). Điều này cho phép các kẻ tấn công chưa xác thực có thể thêm các truy vấn SQL bổ sung vào các truy vấn hiện có, từ đó trích xuất thông tin nhạy cảm từ cơ sở dữ liệu thông qua các kỹ thuật SQL Injection mù dựa trên thời gian (time-based blind SQL injection). Module Remediation phải được kích hoạt, điều này yêu cầu plugin phải được kết nối với một tài khoản Elementor.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.