WP Inventory Manager est vulnérable à une injection SQL temporelle via l’attribut sort_order du shortcode wpinventory_categories, exploitable par un utilisateur authentifié de niveau Contributeur ou supérieur. Les versions jusqu’à 2.5.5 inclus sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
Source : NVD — CVE-2026-76005
Analyse technique
L’attribut fourni par l’utilisateur n’est pas suffisamment échappé ou préparé avant son utilisation dans la requête SQL. Un Contributeur peut placer le shortcode dans un brouillon puis déclencher son rendu lors de l’aperçu, avec une extraction possible de données de la base.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter la création ou la prévisualisation de contenus contenant des shortcodes contrôlés.
Sources
Priorisation DFS : P4 · 1 source(s).