CVE-2026-13357

Nome do Software Vulnerável e Versões Afetadas Houzez Property Feed versões anteriores a 2.5.47

Descrição O plugin é suscetível a SQL Injection, uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução. O problema ocorre no método prepare items() das classes Houzez Property Feed Admin Logs Export Table e Houzez Property Feed Admin Logs Import Table. Atacantes autenticados com nível de acesso de Administrador ou superior podem explorar isso manipulando os parâmetros orderby e order via requisições $ GET. Como esses valores são processados apenas com sanitize text field() e concatenados na string SQL antes da chamada da função $wpdb->prepare(), a cláusula ORDER BY permanece insegura. Isso permite que o atacante anexe consultas SQL adicionais para extrair informações sensíveis do banco de dados.

Recomendações Atualize para uma versão posterior a 2.5.46.