Плагин B1.lt для WordPress уязвим к SQL-инъекции из-за отсутствия проверки прав доступа на действие AJAX b1_run_query во всех версиях вплот…

Плагин B1.lt для WordPress уязвим к SQL-инъекции из-за отсутствия проверки прав доступа на действие AJAX b1_run_query во всех версиях вплоть до 2.2.56 включительно. Это позволяет аутентифицированным злоумышленникам с уровнем доступа Subscriber и выше выполнять произвольные SQL-команды. Плагин был временно закрыт 15 июля 2025 года и недоступен для скачивания, ожидается полный обзор [1]. Источники: - [1] https://www.wordfence.com/threat-intel/vulnerabilities/id/4e479a3f-ef1a-4476-89e1-86d0f388f2c3?source=cve - [2] https://wordpress.org/plugins/b1-accounting/