CVE-2026-18442

Nome do Software Vulnerável e Versões Afetadas WCFM Marketplace versões anteriores a 3.8.2

Description O plugin WCFM Marketplace para WordPress está sujeito a SQL Injection, uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução. Isso ocorre porque a aplicação não escapa adequadamente o parâmetro wcfmmp user location lng e carece de preparação suficiente da consulta SQL. Atacantes não autenticados podem explorar isso manipulando as coordenadas de checkout para anexar consultas adicionais, permitindo a extração de dados sensíveis, como hashes de senhas do WordPress, do banco de dados.

Recommendations Atualize o plugin para a versão 3.8.2 ou posterior. Como mitigação temporária, restrinja ou desative a funcionalidade que processa o parâmetro wcfmmp user location lng.