Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-66628 là lỗ hổng Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') ảnh hưởng tới WP-Lister Lite for eBay. Lỗ hổng này được xếp hạng ở mức Cao, với điểm CVSS 7.6. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
Lỗ hổng SQL Injection trong Shop manager của WP-Lister Lite for eBay phiên bản <= 3.8.11.
WP Lab WP-Lister Lite for eBay có lỗi SQL Injection trong chức năng hoặc luồng xử lý dành cho vai trò Shop manager. Dữ liệu do người dùng kiểm soát có thể không được trung hòa đúng cách trước khi được đưa vào câu lệnh SQL, cho phép truy vấn bị tác động theo cách ngoài ý định của ứng dụng. Bản ghi xác định khả năng truy cập qua mạng, yêu cầu quyền Shop manager, không yêu cầu tương tác của người dùng và có độ phức tạp thấp. Nguồn công khai không nêu endpoint, tham số, hàm hoặc payload cụ thể, vì vậy chi tiết triển khai và điều kiện chính xác để kích hoạt truy vấn vẫn chưa được xác nhận.
Lỗi có thể bị tiếp cận qua mạng bởi tài khoản có quyền Shop manager; bản ghi đánh giá yêu cầu đặc quyền cao, không cần người dùng khác tương tác và có độ phức tạp thấp. Bản ghi không xác nhận khai thác thực tế và đánh dấu không có public exploit. Patchstack mô tả vấn đề này là khó có khả năng bị khai thác, nhưng điều đó không loại trừ rủi ro đối với các website đang cấp quyền Shop manager cho tài khoản không cần thiết. Không có thông tin công khai về chiến dịch, nạn nhân, payload hoặc exploit cụ thể.
Lỗi cho phép dữ liệu đầu vào của người có quyền Shop manager tác động đến câu lệnh SQL trong plugin. Kết quả kỹ thuật được bản ghi mô tả là tác động cao đến tính bí mật, không ghi nhận tác động đến tính toàn vẹn và ghi nhận tác động thấp đến tính sẵn sàng; phạm vi bảo mật được đánh dấu là thay đổi. Hệ quả thực tế có thể gồm lộ dữ liệu cơ sở dữ liệu, dữ liệu riêng tư hoặc thông tin tài khoản. Vì yêu cầu quyền cao, lỗi không phải là một đường tấn công unauthenticated theo bằng chứng hiện có, và không nên suy diễn thành quyền quản trị WordPress hoặc sửa đổi dữ liệu khi nguồn không xác nhận các kết quả đó.
Shop manager, nên rủi ro tập trung vào các website có tài khoản mang quyền này.wp-lister-for-ebay đã thực sự chạy bản đã vá trên mọi website WordPress, bao gồm các site có quy trình triển khai hoặc cập nhật riêng.Shop manager xuống đúng các tài khoản cần thiết. Đây là biện pháp giảm phơi nhiễm tạm thời, không thay thế bản vá.wp-lister-for-ebay.Shop manager và kiểm tra xem quyền này có được cấp rộng hơn nhu cầu vận hành hay không.affected_summary.Shop manager. Đây là biện pháp giám sát phòng ngừa, không phải indicator đã được nguồn xác nhận.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
