CVE-2026-18443

Nome do Software Vulnerável e Versões Afetadas The Smart Manager – Advanced WooCommerce Bulk Edit & Inventory Management versões anteriores a 8.97.1

Description Existe um problema onde atacantes autenticados com nível de acesso de assinante ou superior podem realizar uma Injeção de SQL genérica. Isso ocorre devido à escape insuficiente do parâmetro access privileges fornecido pelo usuário e à falta de preparação suficiente da consulta SQL. A falha permite que atacantes anexem consultas SQL adicionais para extrair informações sensíveis do banco de dados. Isso é possível em instalações onde um administrador salvou uma configuração de Privilégio de Acesso de lista de negação baseada em função que não bloqueia explicitamente o módulo interno access-privilege, permitindo que o filtro de autorização permita implicitamente que usuários de nível de Assinante invoquem o manipulador vulnerável.

Recommendations Atualize o plugin para uma versão posterior a 8.97.0. Restrinja o acesso ao parâmetro access privileges para minimizar o risco de exploração.