Вразливість SQL-ін’єкції в плагіні Newsletters для WordPress (CVE-2026-3018)

Що відомо

Плагін Newsletters для WordPress має вразливість часової SQL-ін’єкції через параметр 'wpmlsubscriber_id' у версіях до 4.13 включно. Це дозволяє неавторизованим зловмисникам додавати додаткові SQL-запити для отримання конфіденційної інформації з бази даних.

Бізнес-вплив

Вразливість може призвести до витоку чутливих даних із бази даних, що ставить під загрозу конфіденційність і цілісність інформації. Для власників веб-інфраструктури це означає потенційні репутаційні втрати та необхідність реагування на інциденти безпеки. ІТ-оператори повинні враховувати високий рівень ризику та пріоритетність усунення цієї проблеми.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Newsletters від розробника та застосувати їх у першу чергу. Якщо оновлення недоступні, слід обмежити доступ до параметра 'wpmlsubscriber_id', провести аудит логів на предмет підозрілої активності та мінімізувати експозицію веб-сервера. Важливо також впровадити додаткові заходи безпеки, такі як веб-фаєрволи та моніторинг запитів.

Джерела

• NVD
• Reference
• Reference
• Reference