p3nt3st3r-star/cve-2026-2413-pocДоказательство концепции эксплуатации для CVE-2026-2413 — время-зависимой слепой SQL-инъекции в плагине Ally для WordPress, позволяющей неаутентифицированным злоумышленникам извлекать конфиденциальную информацию из базы данных.
Плагин Ally – Web Accessibility & Usability для WordPress уязвим к SQL-инъекциям через путь URL во всех версиях вплоть до 4.0.3 включительно. Это связано с недостаточным экранированием параметра URL, предоставляемого пользователем, в методе get_global_remediations(), где он напрямую конкатенируется в SQL-предложение JOIN без надлежащей санитизации для SQL-контекста. Хотя esc_url_raw() применяется для безопасности URL, он не предотвращает внедрение SQL-метасимволов (одинарных кавычек, круглых скобок). Это позволяет неаутентифицированным атакующим добавлять дополнительные SQL-запросы в уже существующие запросы, которые можно использовать для извлечения конфиденциальной информации из базы данных с помощью техник time-based blind SQL-инъекций. Модуль Remediation должен быть активен, что требует подключения плагина к учётной записи Elementor.
