CVE-2026-81420— Tcard WP ≤ 1.8.0 group_id 参数未授权 SQL 注入漏洞
一分钟漏洞结论
影响对象
Unknown Tcard WP
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Tcard WP WordPress 插件（版本 1.8.0 及之前）在使用某个未认证的 AJAX 操作时，未对参数进行 sanitise（净化）和 escape（转义）处理，直接将其用于 SQL 语句，导致未认证的攻击者可以执行 SQL 注入攻击。
可能的 ATT&CK 技术 1 AI
T1190 · Exploit Public-Facing Application
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-81420 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Tcard WP <= 1.8.0 - Unauthenticated SQLi via group_id Parameter
来源: CVE Program / CVE List V5
Vulnerability Description
The Tcard WP WordPress plugin through 1.8.0 does not sanitise and escape a parameter before using it in a SQL statement in one of its unauthenticated AJAX actions, allowing unauthenticated users to perform SQL injection attacks.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-81420 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-81420 的情报信息
请登录查看更多情报信息。
同批安全公告 · Unknown · 2026-10-11 · 共 63 条
| CVE-2026-88785 | Simple Membership < 4.8.3 新用户密码泄露漏洞 | |
| CVE-2026-89304 | Paymendo Bank Transfer 1.1 盲SQL注入漏洞 | |
| CVE-2026-93550 | Veeqo for WooCommerce <=2.2.8 任意文件上传漏洞 | |
| CVE-2026-89305 | Paymendo Bank Transfer <=1.1 通过 'orderBy' 参数的 SQL注入漏洞 | |
| CVE-2026-89302 | Post Voting System <= 1.0 id参数未授权SQL注入漏洞 | |
| CVE-2026-89195 | Site Setup Wizard <= 1.5.8 未授权SQL注入漏洞 | |
| CVE-2026-89214 | WpCues Basic Quiz <= 1.6.5 未授权SQL注入漏洞 | |
| CVE-2026-89213 | Llavero.io <= 0.1.4 cill_login参数盲注漏洞 | |
| CVE-2026-88905 | KeyWord Collector <= 1.4 未授权存储型XSS及设置更新漏洞 | |
| CVE-2026-88903 | Topcontent <=1.2.1 未授权存储型XSS漏洞 | |
| CVE-2026-89232 | RecordBrowser <= 1.1.7 认证绕过SQL注入漏洞 | |
| CVE-2026-88826 | SmugMug Embed <= 3.13 未授权存储型XSS漏洞 | |
| CVE-2026-88827 | Disable Users 1.0.5 禁用账户认证绕过漏洞 | |
| CVE-2026-87764 | BuddyPress Instant Chat 1.6 及以下版本存储型XSS漏洞 | |
| CVE-2026-86798 | HootBoard <= 3.1.4 配置接口未授权存储型XSS漏洞 | |
| CVE-2026-86706 | Quick quotes 1.0.0 未授权整数选项更新漏洞 | |
| CVE-2026-86717 | Insurify ≤1.0 未认证任意选项删除漏洞 | |
| CVE-2026-87762 | Adwised Web Push Notification <=2.5.7 秘密密钥类型混淆存储型XSS漏洞 | |
| CVE-2026-87760 | Web Vitals Tracking 5.4.2 未授权存储型XSS漏洞 | |
| CVE-2026-87761 | Adwised Web Push Notification <= 2.5.7 存储型XSS漏洞 |
显示前 20 条，共 63 条。 查看全部 → →
IV. Related Vulnerabilities
V. Comments for CVE-2026-81420
暂无评论