CVE-2026-4348: SQL Injection w wtyczce BetterDocs Pro dla WordPress

Co wiadomo

Wtyczka BetterDocs Pro do WordPressa do wersji 3.7.0 włącznie jest podatna na atak SQL Injection poprzez akcje AJAX `get_current_letter_docs` i `docs_sort_by_letter`. Luka wynika z nieprawidłowego przetwarzania parametru POST `limit`, co umożliwia nieautoryzowanym atakującym wstrzyknięcie dodatkowych zapytań SQL i potencjalne wykradzenie danych z bazy.

Wpływ biznesowy

Podatność o wysokim poziomie ryzyka (CVSS 7.5) może prowadzić do ujawnienia poufnych informacji z bazy danych WordPressa, co zagraża integralności i poufności danych. Atakujący nie musi być uwierzytelniony, co zwiększa ryzyko wykorzystania. Wykorzystanie luki wymaga włączonej funkcji Encyclopedia w ustawieniach BetterDocs Pro, co może ograniczać ekspozycję, ale nadal stanowi poważne zagrożenie dla właścicieli stron.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję BetterDocs Pro i zaktualizować wtyczkę do najnowszej dostępnej wersji, jeśli jest dostępna poprawka. W przypadku braku aktualizacji zaleca się ograniczenie dostępu do funkcji Encyclopedia lub monitorowanie logów pod kątem podejrzanych zapytań SQL. Warto również przeprowadzić przegląd uprawnień i zabezpieczeń bazy danych oraz priorytetyzować wdrożenie poprawek.

Źródła

• NVD
• Reference
• Reference