CVE-2026-3985: SQL Injection w wtyczce Creative Mail dla WordPress

Co wiadomo

Wtyczka Creative Mail – Easier WordPress & WooCommerce Email Marketing do WordPressa jest podatna na atak SQL Injection poprzez parametr 'checkout_uuid' we wszystkich wersjach do 1.6.9 włącznie. Luka wynika z niewystarczającego zabezpieczenia parametru oraz braku odpowiedniego przygotowania zapytania SQL w metodzie has_checkout_consent().

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy. Może to prowadzić do naruszenia poufności danych klientów i destabilizacji działania serwisu opartego na WordPress i WooCommerce.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Creative Mail i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do parametrów wejściowych, monitorować logi pod kątem podejrzanych zapytań SQL oraz priorytetyzować działania zabezpieczające. Regularne przeglądy bezpieczeństwa i minimalizacja ekspozycji serwisu są kluczowe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference