p3nt3st3r-star/cve-2026-2413-pocProof-of-Concept-Exploit für CVE-2026-2413, eine zeitbasierte Blind-SQL-Injection im Ally-WordPress-Plugin, die es nicht authentifizierten Angreifern ermöglicht, sensible Datenbankinformationen zu extrahieren.
Das Ally – Web Accessibility & Usability Plugin für WordPress ist anfällig für SQL-Injection über den URL-Pfad in allen Versionen bis einschließlich 4.0.3. Dies ist auf unzureichendes Escaping des vom Benutzer bereitgestellten URL-Parameters in der Methode get_global_remediations() zurückzuführen, wo dieser direkt in eine SQL-JOIN-Klausel eingefügt wird, ohne ordnungsgemäße Bereinigung für den SQL-Kontext. Obwohl esc_url_raw() für die URL-Sicherheit angewendet wird, verhindert es nicht, dass SQL-Metazeichen (einfache Anführungszeichen, Klammern) injiziert werden. Dies ermöglicht es nicht authentifizierten Angreifern, zusätzliche SQL-Abfragen an bereits vorhandene Abfragen anzuhängen, die verwendet werden können, um vertrauliche Informationen aus der Datenbank mittels zeitbasierter Blind-SQL-Injection-Techniken zu extrahieren. Das Remediation-Modul muss aktiv sein, was erfordert, dass das Plugin mit einem Elementor-Konto verbunden ist.
