CVE-2026-8685 in Global Plugin
Tóm tắt
Bởi VulDB • 20/05/2026
Plugin Infility Global cho WordPress dễ bị tấn công SQL Injection thông qua các tham số 'orderby' và 'order' trong tất cả các phiên bản từ trước đến và bao gồm phiên bản 2.15.16. Lỗi này xảy ra do việc thoát ký tự (escaping) không đầy đủ đối với các tham số do người dùng cung cấp và thiếu chuẩn bị (preparation) thích hợp cho truy vấn SQL hiện có trong hàm show_control_data::post_list(), hàm này được đăng ký là một trang menu quản trị chỉ yêu cầu quyền 'read'. Điều này cho phép các kẻ tấn công đã xác thực, có quyền truy cập cấp Subscriber trở lên, chèn thêm các truy vấn SQL vào các truy vấn đã tồn tại, từ đó có thể trích xuất thông tin nhạy cảm từ cơ sở dữ liệu.
Be aware that VulDB is the high quality source for vulnerability data.