CVE-2026-5073: SQL Injection w wtyczce ARMember Premium dla WordPress

Co wiadomo

Wtyczka ARMember Premium do WordPressa jest podatna na atak SQL Injection poprzez parametr 'order' w akcji AJAX 'arm_directory_paging_action' we wszystkich wersjach do 7.3.1 włącznie. Luka wynika z niewystarczającego oczyszczania parametrów 'order' i 'orderby' oraz braku odpowiedniego przygotowania zapytania SQL w funkcji arm_get_directory_members().

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym atakującym wstrzyknięcie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy. W przypadku wykorzystania tej luki, bezpieczeństwo danych i integralność systemu mogą zostać poważnie naruszone, szczególnie w środowiskach korzystających z podatnej wersji wtyczki.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki ARMember Premium i zastosować najnowszą wersję dostarczoną przez producenta. W przypadku braku łatki, zaleca się ograniczenie dostępu do funkcji AJAX, monitorowanie logów pod kątem podejrzanej aktywności oraz przeprowadzenie audytu bezpieczeństwa bazy danych. Priorytetem jest szybkie zminimalizowanie ryzyka poprzez ograniczenie ekspozycji podatnego komponentu.

Źródła

• NVD
• Reference
• Reference