CVE-2026-13009

Nome do Software Vulnerável e Versões Afetadas AI Copilot – Content Generator versões anteriores a 1.5.5

Description Este problema é uma Injeção de SQL genérica que ocorre devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação adequada da consulta SQL. Atacantes autenticados com nível de acesso de assinante ou superior podem anexar consultas SQL adicionais a consultas existentes para extrair informações sensíveis do banco de dados. O ataque visa o parâmetro order[0][dir]. O processo requer um waic-nonce, que é emitido no front-end sempre que os shortcodes [waic form] ou [aiwu-form] são renderizados. Isso permite que usuários de nível colaborador que podem publicar shortcodes obtenham um nonce válido e acessem o manipulador AJAX vulnerável, que não realiza verificações de capacidade além da verificação do nonce quando os shortcodes não estão incorporados em uma página.

Recommendations Atualize o AI Copilot – Content Generator para a versão 1.5.5 ou posterior.