CVE-2026-8912: SQL Injection w wtyczce Contest Gallery dla WordPress

Co wiadomo

Wtyczka Contest Gallery dla WordPress do wersji 28.1.6 jest podatna na atak SQL Injection poprzez parametr 'form_input' w niezabezpieczonym AJAX-owym wywołaniu. Atakujący mogą wykorzystać tę lukę do wykradania danych z bazy, korzystając z publicznie dostępnego nonce na stronach galerii.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wykonanie złośliwych zapytań SQL, co może prowadzić do ujawnienia wrażliwych danych przechowywanych w bazie WordPress. Może to skutkować naruszeniem prywatności użytkowników oraz obniżeniem zaufania do serwisu. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i priorytetowo ją adresować.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Contest Gallery i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję endpointu AJAX, przeanalizować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających, takich jak Web Application Firewall. Regularne monitorowanie i audyt bezpieczeństwa są kluczowe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference