Analityczne wykorzystywanie plików cookies
Luka SQL Injection w wtyczce CMS Commander dla WordPress (CVE-2026-3334)
Wtyczka CMS Commander do WordPress ma krytyczną lukę SQL Injection umożliwiającą wyciek danych. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 8.8 HIGH
- EPSS
- 26.65%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka CMS Commander dla WordPress do wersji 2.288 włącznie jest podatna na atak SQL Injection poprzez parametry 'or_blogname', 'or_blogdescription' oraz 'or_admin_email'. Luka wynika z niewystarczającego zabezpieczenia i przygotowania zapytań SQL w procesie przywracania danych.
Wpływ biznesowy
Atakujący posiadający dostęp do klucza API CMS Commander mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie poufnych informacji z bazy danych. Może to prowadzić do naruszenia integralności i poufności danych, a także potencjalnych dalszych ataków na infrastrukturę IT.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki CMS Commander i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do klucza API, monitorować logi pod kątem podejrzanej aktywności oraz ograniczyć ekspozycję systemu. Priorytetowo należy przeprowadzić audyt bezpieczeństwa bazy danych i środowiska WordPress.