CVE-2025-10163
El plugin List category posts para WordPress es vulnerable a una inyección SQL basada en tiempo a través del parámetro ‘starting_with’ del shortcode catlist en todas las versiones hasta y inclusive la 0.91.0 debido a la falta de escape adecuado en el parámetro proporcionado por el usuario y la preparación insuficiente de la consulta SQL existente. Esto permite que los atacantes autenticados, con acceso de nivel Contributor o superior, agreguen consultas SQL adicionales a las consultas ya existentes para extraer información sensible desde la base de datos.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org