CVE-2026-17582

Nome do Software Vulnerável e Versões Afetadas Slider Hero versões anteriores a 9.1.8

Descrição Existe um problema onde atacantes autenticados com nível de acesso de administrador podem realizar uma Injeção de SQL de segunda ordem. Embora os dados do slide, como description, title, btn, btn2, image link e custom, sejam armazenados com segurança, a função qcld sliderhero duplicate() não sanitiza esses dados quando a tarefa 'heroduplicateslider' é acionada. A função concatena valores brutos diretamente em uma tupla INSERT VALUES executada via $wpdb->query(), ignorando funções de segurança como $wpdb->prepare(), esc sql() ou real escape string. Isso permite a execução de consultas SQL adicionais para extrair informações sensíveis do banco de dados.

Recomendações Atualize para uma versão posterior à 9.1.7. Como medida paliativa temporária, evite usar a função qcld sliderhero duplicate() ou acionar a tarefa 'heroduplicateslider' até que a atualização seja aplicada.