CVE-2026-93300
EventON - Subscriber <= 1.4.5 - 'email' पैरामीटर के माध्यम से अनधिकृत SQL इंजेक्शन
- प्रकाशित
- 20 अक्टू॰ 2026
- अद्यतन
- 20 अक्टू॰ 2026
- सीएनए असाइन करना
- Wordfence
- साक्ष्य देखे गए
- 4 नव॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:Nकम · अगले 30 दिन
- प्रतिशत
- 44.1%
- मॉडल दिनांक
- 4 नव॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
WordPress के लिए EventON - Subscriber प्लगइन सभी संस्करणों में, 1.4.5 सहित, 'email' पैरामीटर के माध्यम से generic SQL Injection के प्रति संवेदनशील है, क्योंकि उपयोगकर्ता द्वारा प्रदान किए गए पैरामीटर पर अपर्याप्त escaping और मौजूदा SQL क्वेरी पर अपर्याप्त तैयारी के कारण। इससे अनधिकृत हमलावरों के लिए पहले से मौजूद क्वेरीज़ में अतिरिक्त SQL क्वेरीज़ जोड़ना संभव हो जाता है, जिनका उपयोग डेटाबेस से संवेदनशील जानकारी निकालने के लिए किया जा सकता है।
स्रोत
CVE-2026-93300 के लिए Python प्रूफ़-ऑफ़-कॉन्सेप्ट, जो EventON Subscriber WordPress प्लगइन में एक अनधिप्रमाणित SQL इंजेक्शन है; AJAX हैंडलर की फ़िंगरप्रिंटिंग करता है और समय-आधारित ऑरेकल के माध्यम से डेटाबेस डेटा निकालता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।