CVE-2026-3456
GeekyBot — प्रॉम्प्ट के बिना AI सामग्री उत्पन्न करें, चैटबॉट और लीड जनरेशन <= 1.2.0 - 'attributekey' के माध्यम से बिना प्रमाणीकरण के SQL इंजेक्शन
- प्रकाशित
- 5 मई 2026
- अद्यतन
- 5 मई 2026
- सीएनए असाइन करना
- Wordfence
- साक्ष्य देखे गए
- 10 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:Nकम · अगले 30 दिन
- प्रतिशत
- 38.7%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
The GeekyBot — बिना प्रॉम्प्ट के AI कंटेंट जनरेट करने, चैटबॉट और लीड जनरेशन के लिए WordPress प्लगइन, संस्करण 1.2.0 तक (और इसमें शामिल) में 'attributekey' पैरामीटर के माध्यम से SQL इंजेक्शन के प्रति संवेदनशील है, जो उपयोगकर्ता द्वारा प्रदान किए गए पैरामीटर पर अपर्याप्त एस्केपिंग और मौजूदा SQL क्वेरी पर पर्याप्त तैयारी की कमी के कारण होता है। यह बिना प्रमाणीकरण वाले हमलावरों के लिए मौजूदा क्वेरीज़ में अतिरिक्त SQL क्वेरीज़ जोड़ना संभव बनाता है, जिनका उपयोग डेटाबेस से संवेदनशील जानकारी निकालने के लिए किया जा सकता है।
स्रोत
CVE-2026-3456 के लिए Python PoC जो OAuth2 PKCE रेस-कंडीशन अकाउंट टेकओवर को प्रदर्शित करता है, साथ ही एक कमजोर ऑथ सर्वर और कंकरंट कोड-वेरिफायर एक्सप्लॉइट स्क्रिप्ट के साथ।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।