CVE-2026-7618: SQL Injection w wtyczce EnvíaSimple dla WordPress

Co wiadomo

Wtyczka EnvíaSimple: Email Marketing y Newsletters dla WordPress do wersji 2.4.5 jest podatna na czasową ślepą SQL Injection poprzez parametr 'orderby'. Atakujący z uprawnieniami administratora mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala administratorom na nieautoryzowane rozszerzenie zapytań SQL, co może prowadzić do ujawnienia poufnych informacji z bazy danych. Może to wpłynąć na integralność i poufność danych, a także na zaufanie użytkowników korzystających z serwisu opartego na WordPress z tą wtyczką.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki EnvíaSimple i jej instalację. W przypadku braku łatki należy ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference