CVE-2026-2413

Riepilogo

# The Ally – Plugin WordPress per Accessibilità e Usabilità Web – Vulnerabile a SQL Injection Il plugin The Ally – Web Accessibility & Usability per WordPress è vulnerabile a SQL Injection tramite il percorso URL in tutte le versioni fino alla 4.0.3 inclusa. Ciò è dovuto a un escaping insufficiente sul parametro URL fornito dall'utente nel metodo `get_global_remediations()`, dove viene direttamente concatenato in una clausola SQL JOIN senza una corretta sanificazione per il contesto SQL. Sebbene `esc_url_raw()` venga applicato per la sicurezza dell'URL, esso non impedisce l'iniezione di metacaratteri SQL (virgolette singole, parentesi). Ciò rende possibile per attaccanti non autenticati aggiungere query SQL aggiuntive a query già esistenti, che possono essere utilizzate per estrarre informazioni sensibili dal database tramite tecniche di blind SQL injection basate sul tempo. Il modulo Remediation deve essere attivo, il che richiede che il plugin sia connesso a un account Elementor.

• CVE-2026-2413PoC

  Ally – Accessibilità e Usabilità Web <= 4.0.3 - Iniezione SQL non autenticata tramite percorso URL

• CVE-2026-2413-POCPoC

  Proof-of-concept exploit per CVE-2026-2413, una SQL injection blind basata sul tempo nel plugin WordPress Ally, che consente ad attaccanti non autenticati di estrarre informazioni sensibili dal database.