CVE-2026-12800

Nome do Software Vulnerável e Versões Afetadas Premium Packages – Sell Digital Products Securely versões anteriores a 6.2.1

Descrição Existe um problema onde invasores não autenticados podem anexar consultas SQL adicionais a consultas existentes para extrair informações sensíveis do banco de dados. Isso ocorre porque o parâmetro code do endpoint de API REST POST '/wp-json/wpdmpp/v1/cart/coupon' é interpolado diretamente em uma string de consulta SQL bruta dentro do método CouponCodes::find() sem a devida filtragem ou o uso de $wpdb->prepare() ou esc sql().

Recomendações Atualize o plugin para uma versão posterior a 6.2.0. Como mitigação temporária, restrinja o acesso ao endpoint '/wp-json/wpdmpp/v1/cart/coupon' ou evite usar o parâmetro code até que a atualização seja aplicada.