Injection SQL dans WordPress (CVE-2026-18443, CVSS 8.8)

Résumé

Injection SQL dans WordPress (CVE-2026-18443). L'exploitation peut entraîner la prise de contrôle totale du système.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

The Smart Manager – Advanced WooCommerce Bulk Edit & Inventory Management plugin for WordPress is vulnerable to generic SQL Injection via the 'access_privileges' parameter in all versions up to, and including, 8.97.0 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with subscriber-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. This exploit is only possible on installations where an administrator has saved a role-based deny-list Access Privilege configuration that does not explicitly block the internal 'access-privilege' module, as this condition allows the authorization filter to implicitly permit Subscriber-level users to invoke the vulnerable handler.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-18443 a été découverte dans wordpress.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.8/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « wordpress CVE-2026-18443 » sur le site de l'éditeur.

CVE-2026-18443 (wordpress) — CWE-89 / CVSS v3 8.8
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

WordPress用Smart ManagerプラグインのSQLインジェクション脆弱性

📍 Périmètre concerné

バージョン8.97.0までのSmart Managerプラグイン

🔥 Gravité

高危険性。攻撃者はデータベースから機密情報を抽出可能

🔧 Comment corriger

バージョン8.97.1以降へのアップデート

🛡️ Contournement

特定のアクセス権限設定を使用しない

🔍 Détection

データベースに不審なSQLクエリの痕跡がないか確認

Résumé

Description d'origine

Résumé IA

Références