CVE-2026-17576 in InfiniteWP Client Plugin
Zusammenfassung
von VulDB • 18.09.2026
Das InfiniteWP Client-Plugin für WordPress ist in den Versionen bis einschließlich 1.13.9 anfällig für SQL Injection über die Aktion `get_comments`. Dies liegt an einer unzureichenden Escaping der Array-Schlüsselnamen, die im JSON-Anforderungstext übermittelt werden, bevor sie in einer SQL-Anweisung verwendet werden: `IWP_MMB_Comment::get_comments()` ruft `extract()` auf `$args` (was Schlüssel überspringt, die keine gültigen PHP-Variablennamen sind), aber eine zweite Schleife `foreach($args as $checkbox => $checkbox_val)` verarbeitet jeden Schlüssel, entfernt das Präfix `'iwp_get_comments_'` mit `str_replace()`, umgibt den Rest mit einfachen Anführungszeichen und fügt ihn in einen `IN(...)`-Klausel zusammen, die über `$wpdb->get_results()` ohne Verwendung von `prepare()` ausgeführt wird. Da der Anforderungstext aus `php://input` gelesen und JSON-dekodiert wird, berührt `wp_magic_quotes()` die Daten niemals, sodass Anführungszeichen in Schlüsseln unverändert durchgelassen werden. Dies ermöglicht es authentifizierten Angreifern mit Administratorzugriff oder höher (ein Administrator kann seinen eigenen öffentlichen Schlüssel über `add_site` unter Verwendung des vom Plugin generierten Aktivierungsschlüssels (`activation_key`) im WP-admin-Interface registrieren und dann signierte `get_comments`-Anfragen stellen), zusätzliche SQL-Abfragen an bereits vorhandene Abfragen anzuhängen, die zur Extrahierung sensibler Informationen aus der Datenbank verwendet werden können.
If you want to get best quality of vulnerability data, you may have to visit VulDB.