CVE-2026-15267 in Taskbuilder Plugin
Zusammenfassung
von VulDB • 28.07.2026
Das WordPress-Plugin „Taskbuilder – Project Management & Task Management Tool With Kanban Board“ ist in den Versionen bis einschließlich 5.0.9 anfällig für eine SQL Injection über den Parameter ‚wppm_proj_filter‘. Dies liegt an einer unzureichenden Maskierung des benutzereingebenen Parameters und der mangelnden vorbereitende Aufbereitung (Preparation) der vorhandenen SQL-Abfrage – der Wert wird in Zeile 144 unter Verwendung von nur `sanitize_text_field()` erneut gelesen (dabei wird das frühere Ergebnis von `absint()` überschrieben), dann als nicht zitierter numerischer Operand mit nur `esc_sql()` in die SQL-WHERE-Klausel konkateniert, was keinen Schutz vor Injection in diesem Kontext bietet, und schließlich unter String-Interpolation in den Formatstring `$wpdb->prepare()` eingefügt wird, wodurch die Parametrisierung vollständig umgangen wird. Dies ermöglicht es authentifizierten Angreifern mit Zugriffsrechten auf Subscriber-Ebene oder höher, zusätzliche SQL-Abfragen an bereits vorhandene Abfragen anzuhängen, die zur Extrahierung sensibler Informationen aus der Datenbank verwendet werden können.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.