CVE-2026-13357

WordPress üçün Houzez Property Feed plaqini, istifadəçi tərəfindən təqdim edilən parametrin kifayət qədər ekranlaşdırılmaması və Houzez_Property_Feed_Admin_Logs_Export_Table (və Houzez_Property_Feed_Admin_Logs_Import_Table) sinfinin prepare_items() metodunda mövcud SQL sorğusunun kifayət qədər hazırlanmaması səbəbindən 2.5.46 versiyası daxil olmaqla bütün versiyalarda 'orderby' parametri vasitəsilə SQL inyeksiyasına həssasdır. İstifadəçi tərəfindən idarə olunan $_GET['orderby'] və $_GET['order'] dəyərləri yalnız sanitize_text_field() ilə filtrlənir və sonra $wpdb->prepare() çağırılmazdan əvvəl SQL format sətrinə birləşdirilir — prepare() yalnız əlavə edilmiş LIMIT/OFFSET bəndini parametrləşdirir və artıq zədələnmiş ORDER BY bəndini sonradan təhlükəsiz hala gətirə bilmir. Bu, Administrator səviyyəli girişə və yuxarıya malik autentifikasiyadan keçmiş hücumçulara mövcud sorğulara əlavə SQL sorğuları əlavə etməyə imkan verir ki, bu da verilənlər bazasından həssas məlumatların çıxarılması üçün istifadə oluna bilər.