CVE-2026-15304

Nome do Software Vulnerável e Versões Afetadas Plugin Organizer versões anteriores a 10.2.5

Descrição Atacantes autenticados com nível de acesso de assinante ou superior podem realizar Injeção de SQL ao anexar consultas adicionais a consultas existentes para extrair informações sensíveis do banco de dados. Isso ocorre porque a função perform plugin search() não escapa adequadamente o parâmetro PO plugin path. Especificamente, a saída de esc sql() é passada como uma string de substituição para preg replace(), que remove escapes de barra invertida e ignora as proteções de aspas. Além disso, o manipulador AJAX não implementa verificação de nonce nem verificações de capacidade.

Recomendações Atualize para uma versão posterior à 10.2.4.