BuildKit до 1.0.29: сохраняемая SQL-инъекция через параметр list_content (CVE-2026-94298)
В WordPress-плагине BuildKit версий до 1.0.29 обнаружена сохраняемая SQL-инъекция (Stored SQLi), эксплуатируемая пользователями с ролью Contributor через параметр list_content. Уязвимость позволяет внедрить SQL-код, который срабатывает при публикации и просмотре контента любым неавторизованным посетителем. Проблема требует оперативного обновления плагина.
Подробности
Уязвимости подвержены все версии плагина BuildKit до 1.0.29 включительно. Согласно описанию CVE, плагин не выполняет должную санитизацию и экранирование данных, поступающих от пользователей с уровнем доступа Contributor. Эти данные сохраняются в базе, а впоследствии используются в SQL-запросе без надлежащей обработки. Ключевой вектор атаки — параметр list_content. Пользователь с ролью Contributor (а это, как правило, авторы, готовящие черновики, но не имеющие прав на публикацию) может внедрить в этот параметр произвольный SQL-код. Инъекция не срабатывает мгновенно: она активируется в момент, когда итоговый контент публикуется и просматривается. Причём запуск вредоносного SQL-запроса происходит при обращении любого неавторизованного посетителя — то есть без необходимости аутентификации на сайте. Отдельной информации о значении CVSS в записи CVE не приводится. Тем не менее сам факт того, что Contributor-уровень обычно считается относительно безопасным доверенным доступом, делает эту уязвимость особенно опасной: атакующему достаточно минимальных прав для подготовки отложенного воздействия на базу данных.Что делать
Основная и наиболее надёжная рекомендация — обновить плагин BuildKit до версии 1.0.29 или более поздней. Именно в этой версии, судя по формулировке CVE, устранена проблема санитизации параметра list_content. Если немедленное обновление невозможно, стоит рассмотреть временные митигации: — ограничить круг пользователей с ролью Contributor и пересмотреть их права; — временно отключить плагин, если он не критичен для работы сайта; — усилить мониторинг активности пользователей с низкими привилегиями и проверять содержимое публикуемых материалов; — применять правила WAF для фильтрации подозрительных SQL-паттернов во входящих запросах. Также рекомендуется провести проверку базы данных на предмет уже внедрённых вредоносных конструкций, если на сайте ранее были активны Contributor-пользователи. Итог: CVE-2026-94298 — серьёзная сохраняемая SQL-инъекция в BuildKit до 1.0.29, позволяющая пользователю с минимальными правами запустить SQL-запрос при просмотре опубликованного контента. Единственное надёжное решение — обновление до версии 1.0.29 и выше. Владельцам сайтов на WordPress стоит проверить наличие плагина и незамедлительно применить патч.Источник: CVE Project (cvelistV5)