CVE-2026-15267 in Taskbuilder Plugin
الملخص
بحسب VulDB • 28/07/2026
يحتوي مكون WordPress "Taskbuilder – Project Management & Task Management Tool With Kanban Board" على ثغرة حقن SQL عبر المعلمة 'wppm_proj_filter' في الإصدارات 5.0.9 وما قبلها. ويعود ذلك إلى عدم كفاية الهروب من الرموز (escaping) للمدخلات التي يزودها المستخدم، وعدم وجود تحضير كافٍ لاستعلام SQL الموجود — حيث يتم إعادة قراءة القيمة عند السطر 144 باستخدام دالة sanitize_text_field() فقط (مما يؤدي إلى تجاوز نتيجة absint() السابقة)، ثم إلحاقها باستعلام WHERE الخاص بـ SQL كعامل رقمي غير محاط بعلامات اقتباس باستخدام esc_sql() فقط، وهي لا توفر الحماية ضد الحقن في هذا السياق. وأخيراً، يتم إدراج النص ديناميكياً ضمن سلسلة التنسيق الخاصة بـ $wpdb->prepare()، مما يتجاوز استخدام المعاملات (parameterization) تماماً. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المشترك أو أعلى من ذلك، من إضافة استعلامات SQL إضافية إلى الاستعلامات الموجودة مسبقاً والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.