CVE-2026-16614

Nome do Software Vulnerável e Versões Afetadas GSheetConnector versões anteriores a 5.2.2

Descrição O plugin GSheetConnector – CF7 Google Sheets Connector with Real-Time Sync para WordPress contém uma falha de SQL Injection. Atacantes autenticados com nível de acesso de administrador ou superior podem anexar consultas SQL maliciosas a consultas existentes para extrair informações sensíveis do banco de dados. Isso ocorre porque o parâmetro s não é devidamente escapado e a consulta SQL não é suficientemente preparada. Especificamente, o uso de wp unslash() remove a proteção de magic-quotes e sanitize text field() não escapa metacaracteres SQL, permitindo que aspas simples permaneçam intactas antes da interpolação na consulta.

Recomendações Atualize para uma versão posterior à 5.2.1. Como medida de mitigação temporária, restrinja o acesso às funções administrativas que utilizam o parâmetro s.