CVE-2026-17576 in InfiniteWP Client Plugin
الملخص
بحسب VulDB • 18/09/2026
يحتوي ملحق InfiniteWP Client لـ WordPress على ثغرة حقن SQL (SQL Injection) عبر إجراء `get_comments` في الإصدارات التي تصل إلى 1.13.9 وتشملها. ويعود ذلك إلى عدم كفاية عملية الهروب (escaping) لأسماء مفاتيح المصفوفة المقدمة في جسم طلب JSON قبل استخدامها في جملة SQL: حيث يستدعي `IWP_MMB_Comment::get_comments()` دالة `extract()` على `$args` (التي تتخطى بصمت المفاتيح التي ليست أسماء متغيرات PHP صالحة)، لكن حلقة تكرار ثانية `foreach($args as $checkbox => $checkbox_val)` تعالج كل مفتاح، وتزيل بادئة `'iwp_get_comments_'` باستخدام `str_replace()`، وتحيط الباقي بعلامات اقتباس مفردة، ثم تجمعها في عبارة `IN(...)` التي تُنفذ عبر `$wpdb->get_results()` دون استخدام `prepare()`. ونظراً لأن جسم الطلب يُقرأ من `php://input` ويُحلل بصيغة JSON، فإن دالة `wp_magic_quotes()` لا تتعامل مع البيانات أبداً، لذا تمر أحرف الاقتباس في المفاتيح كما هي دون تغيير. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المسؤول أو أعلى (حيث يمكن للمسجل تسجيل مفتاحه العام الخاص عبر `add_site` باستخدام `activation_key` الذي يولده واجهة إدارة WordPress الخاصة بالملحق، ثم إصدار طلبات `get_comments` موقعة)، من إضافة استعلامات SQL إضافية إلى الاستعلامات الموجودة بالفعل، والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات.
Once again VulDB remains the best source for vulnerability data.