Luka SQL Injection w wtyczce Taskbuilder do WordPress (CVE-2026-12090)

Co wiadomo

Wtyczka Taskbuilder – Project Management & Task Management Tool With Kanban Board dla WordPressa jest podatna na ogólny atak SQL Injection poprzez parametr 'wppm_proj_filter' we wszystkich wersjach do 5.0.8 włącznie. Luka umożliwia uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym wstrzyknięcie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do danych przechowywanych w bazie WordPressa, co stanowi zagrożenie dla poufności informacji. Może to prowadzić do naruszenia prywatności użytkowników oraz potencjalnych szkód wizerunkowych i finansowych dla właścicieli stron. Luka nie wymaga dodatkowej weryfikacji nonce, co ułatwia jej wykorzystanie w środowiskach z wieloma użytkownikami.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Taskbuilder i ich instalację. W przypadku braku łatki należy ograniczyć dostęp do panelu WordPressa do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych zapytań SQL. Dodatkowo warto rozważyć zastosowanie zapór aplikacji webowych (WAF) w celu blokowania prób ataków SQL Injection oraz przeprowadzić audyt uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference