CVE-2026-13200

Nome do Software Vulnerável e Versões Afetadas Create plugin for WordPress versões anteriores a 2.5.4

Description Existe um problema onde atacantes autenticados com nível de acesso de autor ou superior podem realizar uma Injeção de SQL genérica. Isso ocorre devido à escape insuficiente de entradas fornecidas pelo usuário e à falta de preparação adequada da consulta SQL. Atacantes podem anexar consultas SQL adicionais para extrair informações sensíveis do banco de dados através do parâmetro order. Este caminho de execução específico é acionado quando a requisição inclui pelo menos um dos seguintes parâmetros: linked posts, created after, created before, missing fields, post id, um valor de tipo separado por vírgulas ou exclude type.

Recommendations Atualize o Create plugin for WordPress para a versão 2.5.4 ou posterior. Como mitigação temporária, restrinja o acesso de nível de autor ou evite usar o parâmetro order em conjunto com linked posts, created after, created before, missing fields, post id ou exclude type até que a atualização seja aplicada.