CVE-2026-3079: Blind SQL Injection w wtyczce LearnDash LMS dla WordPress

Co wiadomo

Wtyczka LearnDash LMS dla WordPress do wersji 5.0.3 zawiera podatność na ślepą, czasową SQL Injection poprzez parametr 'filters[orderby_order]' w akcji AJAX 'learndash_propanel_template'. Atakujący z uprawnieniami co najmniej Contributor mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wyciek wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala na eskalację ataku przez użytkowników z ograniczonymi uprawnieniami, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Może to skutkować naruszeniem prywatności danych oraz utratą zaufania użytkowników i klientów. Operatorzy IT powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji i danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LearnDash LMS i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji AJAX oraz monitorować logi pod kątem podejrzanych zapytań SQL. Dodatkowo warto przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference