CVE-2026-119155

Nome do Software Vulnerável e Versões Afetadas wpForo Forum versões anteriores a 3.2.3

Descrição Existe uma Injeção de SQL baseada em tempo não autenticada devido à escape insuficiente de entrada fornecida pelo usuário e falta de preparação adequada da consulta SQL. Isso permite que atacantes anexem consultas SQL adicionais para extrair informações sensíveis do banco de dados. O ataque visa o parâmetro href[locale]. O nonce necessário está publicamente disponível para visitantes não autenticados em qualquer página do fórum através do objeto JavaScript wpforo.nonces, exigindo apenas o carregamento da página para sua obtenção.

Recomendações Atualize para a versão 3.2.3 ou posterior. Evite usar o parâmetro href[locale] até que a atualização seja aplicada.