Analytical use of cookies
Уразливість SQL-ін’єкції в плагіні ERP для WordPress (CVE-2026-13011)
Плагін ERP для WordPress має SQL-ін’єкцію через параметр 'orderby', що дозволяє витік даних при доступі HR Manager. Рекомендується оновлення та обмеження доступу.
- CVSS
- 6.5 MEDIUM
- EPSS
- 17.71%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін ERP: Complete HR, Accounting & CRM Suite для WordPress має уразливість SQL-ін’єкції через параметр 'orderby' у версіях до 1.17.5 включно. Аутентифіковані користувачі з рівнем доступу HR Manager і вище можуть додавати шкідливі SQL-запити для отримання конфіденційної інформації з бази даних.
Бізнес-вплив
Уразливість дозволяє зловмисникам з правами HR Manager або вище виконувати додаткові SQL-запити, що може призвести до витоку чутливих даних з бази даних. Це створює ризик компрометації персональних і фінансових даних, що негативно впливає на довіру клієнтів і відповідність нормативним вимогам.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна ERP від розробника та застосувати їх. Якщо оновлення недоступні, обмежте доступ до функції erp_list_employee лише довіреним користувачам, перегляньте журнали доступу на предмет підозрілої активності та мінімізуйте експозицію системи в мережі.