CVE-2026-77161: SQL-инъекция в WordPress-плагине Smart Marketing SMS and Newsletters Forms
В плагине Smart Marketing SMS and Newsletters Forms для WordPress обнаружена уязвимость SQL-инъекции, затрагивающая версии до 5.1.24 включительно. Аутентифицированный пользователь с правами подписчика и выше может внедрять произвольные SQL-запросы и извлекать конфиденциальные данные из базы данных. Уязвимость оценена как средняя (CVSS 6.5).
Подробности
CVE-2026-77161 описывает уязвимость типа generic SQL Injection, возникающую при обработке параметра Parameter Name. Проблема присутствует во всех версиях плагина вплоть до 5.1.24 включительно и связана с недостаточным экранированием пользовательского ввода и отсутствием должной подготовки существующего SQL-запроса. В результате атакующий может добавлять собственные SQL-конструкции к уже выполняемому запросу. Ключевая особенность этой уязвимости — необходимость аутентификации. Эксплуатация доступна пользователям с уровнем подписки Subscriber и выше, то есть даже минимальные привилегии внутри WordPress открывают путь к атаке. Это существенно расширяет круг потенциальных злоумышленников: например, зарегистрированный на сайте покупатель или подписчик рассылки может попытаться использовать брешь. Для успешной эксплуатации должны быть выполнены два условия конфигурации: включена функция синхронизации плагина (options['enabled']) и параметр get_option('egoi_mapping') должен быть истинным. Как отмечается в описании уязвимости, оба состояния отражают обычную рабочую конфигурацию плагина для базового функционала сопоставления контактов, а значит, многие активные установки могут оказаться уязвимыми без каких-либо экзотических настроек. Последствия успешной атаки — извлечение конфиденциальной информации из базы данных WordPress. В зависимости от структуры БД и привилегий пользователя СУБД это могут быть учётные данные, персональные данные подписчиков, токены интеграций со сторонними сервисами и другая чувствительная информация. Уязвимости класса SQL-инъекций традиционно относятся к наиболее опасным, поскольку позволяют обходить логику приложения и обращаться к данным напрямую. Оценка CVSS составляет 6.5 балла, что соответствует среднему уровню критичности. Такая оценка отражает сочетание факторов: необходимость аутентификации понижает риск, однако широкая доступность уровня Subscriber и потенциальный масштаб утечки данных удерживают угрозу на заметном уровне.Что делать
Основная рекомендация — обновить плагин Smart Marketing SMS and Newsletters Forms до версии выше 5.1.24, как только разработчик выпустит исправление. Если обновление недоступно, следует рассмотреть временные митигации: отключить функцию синхронизации плагина, если она не используется в текущих бизнес-процессах, а также проверить значение опции egoi_mapping и отказаться от неё, если она не требуется. Дополнительно стоит пересмотреть роли пользователей на сайте и ограничить число аккаунтов с правом регистрации, чтобы снизить поверхность атаки. В случае подозрений на компрометацию необходимо провести аудит базы данных, сменить пароли и ключи интеграций, а также проанализировать логи на предмет подозрительных SQL-запросов. Итог: CVE-2026-77161 — серьёзный повод для владельцев WordPress-сайтов, использующих Smart Marketing SMS and Newsletters Forms, проверить конфигурацию и как можно скорее установить исправленную версию плагина.Источник: CVE Project (cvelistV5)