CVE-2026-4661: Blind SQL Injection w wtyczce WP CTA – Sticky CTA Builder do WordPress

Co wiadomo

Wtyczka WP CTA – Sticky CTA Builder do WordPress w wersjach do 2.2.2 jest podatna na czasową ślepą SQL Injection przez parametr 'fildname'. Brak odpowiedniej walidacji i autoryzacji umożliwia nieautoryzowanym atakującym wstrzykiwanie zapytań SQL i wykradanie danych, w tym hashy haseł administratorów.

Wpływ biznesowy

Podatność pozwala atakującym bez uwierzytelnienia na wykonywanie złośliwych zapytań SQL, co może prowadzić do wycieku wrażliwych danych i kompromitacji kont administratorów. Może to skutkować poważnymi naruszeniami bezpieczeństwa i utratą zaufania użytkowników oraz klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie ograniczyć dostęp do podatnego endpointu, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd uprawnień użytkowników. Priorytetowo traktować działania minimalizujące ryzyko wycieku danych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference