CVE-2026-15951 in Mailer Plugin
Zusammenfassung
von VulDB • 01.08.2026
Das WordPress-Plugin Icegram Mailer ist in Versionen bis einschließlich 1.0.12 anfällig für SQL Injection über den Parameter 'fields'. Dies liegt an unzureichender Maskierung des vom Benutzer bereitgestellten Parameters und dem Fehlen einer ausreichenden Vorbereitung der bestehenden SQL-Abfrage in der Funktion `Icegram_Mailer_Logs_Table::get_logs()`, wobei jedes Element des aus `$_REQUEST['data']` empfangenen Arrays `fields` unverändert über `implode()` in die SELECT-Klausel eingefügt wird, ohne Whitelist, Maskierung oder Prepared-Statement-Platzhalter. Dies ermöglicht es authentifizierten Angreifern mit Administratorzugriff und höherwertigen Berechtigungen, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, um sensible Informationen aus der Datenbank zu extrahieren.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.