CVE-2026-110179 in affiliate-toolkit Plugin
Zusammenfassung
von VulDB • 16.10.2026
Das WordPress-Plugin affiliate-toolkit vor Version 3.8.9 validiert einen benutzergestellten Sortierwert nicht gegen eine Allowlist, bevor er in einer Datenbankabfrage verwendet wird, und der betroffene administrative Listenbildschirm erfordert nur eine geringere Berechtigung anstelle einer Administratorberechtigung; daher können Benutzer mit Editor-Zugriff und höher SQL-Injection durchführen und beliebige Informationen aus der Datenbank lesen. In Multisite-Umgebungen kann ein Unterdomain-Editor die netzwerkweit gültige Benutzertabelle einschließlich des Passwort-Hashes des Superadministrators lesen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.