Le plugin VikRentCar présente également une injection SQL aveugle via le paramètre catid, exploitable par un utilisateur authentifié de niveau Contributeur ou supérieur. Toutes les versions jusqu’à 1.4.10 inclus sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
Source : NVD — CVE-2026-116750
Analyse technique
L’entrée catid n’est pas suffisamment échappée ni préparée avant son utilisation dans une requête SQL. Un contenu en attente peut être rendu côté serveur lors de son aperçu, ce qui permet l’exploitation et l’extraction possible de données de la base.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter la prévisualisation de contenus soumis par des utilisateurs non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).