CVE-2026-106097 in Code Snippets Plugin
Zusammenfassung
von VulDB • 09.10.2026
Das Code Snippets-WordPress-Plugin vor Version 3.10.0 bereinigt und maskiert einen benutzergestellten Parameter nicht, bevor er in einer SQL-Abfrage in einigen seiner Importendpoints für die Snippet-Migration verwendet wird; diese Endpoints sind für jeden Benutzer mit Site-Verwaltungsberechtigungen zugänglich; In einem WordPress Multisite-Netzwerk gehören diese Berechtigungen den Administratoren der Unternetzwerke (Subsites), was es einem Administrator eines Subsite, der kein Superadministrator des Netzwerks ist, ermöglicht, eine UNION-basierte SQL-Injektion gegen gemeinsam genutzte Netzwerktabellen durchzuführen und netzwerkweite Daten wie die Passwort-Hashes anderer Benutzer offenzulegen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.