CVE-2026-18881

Nome do Software Vulnerável e Versões Afetadas TableOn – WordPress Posts Table Filterable versões anteriores a 1.0.5.2

Descrição Atacantes não autenticados podem realizar Injeção de SQL cega (blind SQL Injection) através do parâmetro filter data[comment count] da ação AJAX pública tableon get table data. O problema ocorre porque a entrada fornecida pelo usuário é dividida por dois pontos e interpolada diretamente em uma cláusula SQL posts where sem a utilização de conversão intval() ou $wpdb->prepare(). Isso permite a execução de consultas SQL adicionais para extrair dados sensíveis do banco de dados, como nomes de bancos de dados, nomes de usuário e senhas.

Recomendações Atualize para uma versão posterior à 1.0.5.1. Como medida paliativa temporária, restrinja o acesso à ação AJAX tableon get table data para minimizar o risco de exploração.