CVE-2026-13191

Nome do Software Vulnerável e Versões Afetadas Create plugin for WordPress versões anteriores a 2.5.4

Description Existe um problema onde atacantes autenticados com acesso de nível de autor ou superior podem realizar uma Injeção de SQL. Isso ocorre porque o parâmetro order by não é suficientemente escapado e a consulta SQL não é devidamente preparada. Atacantes podem anexar consultas SQL adicionais para extrair informações sensíveis do banco de dados. A vulnerabilidade é acessível via um endpoint REST onde o callback de permissão assume por padrão a capacidade publish posts.

Recommendations Atualize o Create plugin for WordPress para a versão 2.5.4 ou posterior. Evite usar o parâmetro order by no endpoint REST afetado até que a atualização seja aplicada.