CVE-2026-96653

Nome do Software Vulnerável e Versões Afetadas WP Directory Kit versões anteriores a 1.6.0

Descrição Usuários autenticados com nível de acesso de assinante ou superior podem realizar uma Injeção de SQL baseada em tempo de segunda ordem. Isso ocorre quando um usuário armazena um valor especialmente criado no campo de perfil display name, que é preservado pelo WordPress. O problema é acionado quando a função WdkCachedUserEditor::update listings user editor() lê esse valor armazenado e o passa sem a devida sanitização para um sumidouro SQL, permitindo que invasores adicionem consultas extras e extraiam informações sensíveis do banco de dados. Uma injeção de segunda ordem é um tipo de vulnerabilidade onde a entrada maliciosa é armazenada pela aplicação e posteriormente executada em outra parte do sistema.

Recomendações Atualize para uma versão posterior à 1.5.9.