NVD / CVE Program· CNA flexera

CVE-2013-0735: Multiple SQL injection vulnerabilities in wpf.class.php in the Mingle Forum plugin before 1.0.34 for WordPress allow remote attackers to…

ВысокаяCVSS 7.5 · v2.0—Эксплойта нет Исправление не зафиксировано

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 31/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 2,1% (FIRST EPSS); выше, чем у 82,5% записей.
Особые условия не требуются; воспроизводится стабильно.
Согласно записи, исправленной версии пока нет.

Пока низкий приоритет. Обновитесь, когда выйдет исправление; следите за бюллетенем производителя.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Multiple SQL injection vulnerabilities in wpf.class.php in the Mingle Forum plugin before 1.0.34 for WordPress allow remote attackers to execute arbitrary SQL commands via the id parameter in a viewtopic (1) remove_post, (2) sticky, or (3) closed action or (4) thread parameter in a postreply action to index.php.

Опубликовано: 2 апр. 2014 г.
Обновлено: 16 июн. 2026 г.
EPSS: 2,1 % · 82-й процентиль
CWE: CWE-89

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 30 / 40 · 7.5 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 1 / 30 · 2,1 %

WordPress есть на вашем сайте?

WP Lens снаружи определяет версии плагинов, тем и WordPress на вашем сайте и сопоставляет их с известными уязвимостями. Работает без аккаунта.

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
wordpress	wordpress	cpe:2.3:a:wordpress:wordpress
cartpauj	mingle-forum	cpe:2.3:a:cartpauj:mingle-forum

Используете wordpress? Добавьте в свой стек и первыми узнавайте о подобных CVE. (WordPress)

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

cartpauj mingle-forumдо 1.0.33 включительно
cartpauj mingle-forum1.0.00
cartpauj mingle-forum1.0.01
cartpauj mingle-forum1.0.02
cartpauj mingle-forum1.0.03
cartpauj mingle-forum1.0.04
cartpauj mingle-forum1.0.05
cartpauj mingle-forum1.0.06

ещё строк: 12

cartpauj mingle-forum1.0.07
cartpauj mingle-forum1.0.08
cartpauj mingle-forum1.0.09
cartpauj mingle-forum1.0.10
cartpauj mingle-forum1.0.11
cartpauj mingle-forum1.0.12
cartpauj mingle-forum1.0.13
cartpauj mingle-forum1.0.14
cartpauj mingle-forum1.0.15
cartpauj mingle-forum1.0.16
cartpauj mingle-forum1.0.17
cartpauj mingle-forum1.0.18

Тот же продукт

wordpress: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2026-87902An unauthenticated attacker can make `get_page_template()` page-template resolution include a chosen readable local `.php` file outside the…KEV
91Срочно
CVE-2026-63030WordPress < 7.0.2 - REST API batch-route confusion and SQL injection issue leading to Remote Code ExecutionKEV
72На этой неделе
CVE-2026-119977WordPress Core 4.7.0 - 7.1.3 - Unauthenticated Upgrade-Window Staged-Installer Remote Code ExecutionKEV
62На этой неделе

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2014-23169 мар. 2014 г. · SQL injection vulnerability in se_search_default in the Search Everything plugin before 7.0.3 for WordPress allows remote attackers to…
31Наблюдать
← РаньшеCVE-2013-073428 мар. 2014 г. · Multiple cross-site scripting (XSS) vulnerabilities in the Mingle Forum plugin before 1.0.34 for WordPress allow remote attackers to inject…
18Наблюдать
Позже →CVE-2014-01659 апр. 2014 г. · WordPress before 3.7.2 and 3.8.x before 3.8.2 allows remote authenticated users to publish posts by leveraging the Contributor role…
17Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

Охват bug bounty

WordPressHackerOne · с вознаграждением

Вендор продукта присутствует в публичной программе. Сопоставление по имени; проверьте текст scope в программе.

В записи нет: истории EPSS · ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки.

Технические детали

Условия атаки

Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: P · данные могут быть прочитаны
Целостность: P · данные или конфигурация могут быть изменены
Доступность: P · работа сервиса может быть нарушена

Сложность атаки: Низкая
Влияние на конфиденциальность: P
Влияние на целостность: P
Влияние на доступность: P

Класс уязвимости (CWE)

CWE-89 · Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')

Вектор CVSS

AV:N/AC:L/Au:N/C:P/I:P/A:P

nvd-primary

Первопричина

Текст запроса формируется конкатенацией с пользовательским вводом. СУБД не может определить, где заканчиваются данные и начинается команда.

Ошибка в коде

Весь класс CWE-89

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1const owner = req.query.owner;
2const rows = await db.query(
3  "SELECT * FROM files WHERE owner = '" + owner + "'"
4);

Исправленный код

1const owner = req.query.owner;
2const rows = await db.query(
3  "SELECT * FROM files WHERE owner = $1",
4  [owner]
5);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Техники ATT&CK

—

Журнал изменений (0)

Изменений отслеживаемых полей пока нет. Здесь появятся изменения оценки, KEV, зрелости эксплойта и статуса исправления.

Источники

osvdb.org/90434

Показать все источники (ещё 4)

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: flexera

CVE.org (CNA)6 авг. 2024 г., 14:33 UTC
NVD16 июн. 2026 г., 19:49 UTC
FIRST EPSS14 нояб. 2026 г., 00:00 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.

CVE-2013-0735: Multiple SQL injection vulnerabilities in wpf.class.php in the Mingle Forum plugin before 1.0.34 for WordPress allow remote attackers to…

Оценка Noroxi

WordPress есть на вашем сайте?

Следить за CVE-2013-0735

Что это значит для вашей инфраструктуры?

Затронутые системы

Затронута ли ваша версия?

Новые CVE для wordpress

Затронутые версии

Тот же продукт

Исправление

На какую версию обновиться

Статус эксплойта

Контекст для исследователя

Хронология

Технические детали

Условия атаки

В случае успеха

Первопричина

Ошибка в коде

Контекст атаки

Источники