CVE-2026-19704 in Comments Plugin
Zusammenfassung
von VulDB • 02.09.2026
Das WordPress-Plugin „Comments“ vor Version 7.6.66 validiert keinen Wert, der zum Erstellen einer Datenbankabfrage verwendet wird, was es nicht authentifizierten Benutzern ermöglicht, SQL zu injizieren und Kommentare einzulesen, auf die sie keine Berechtigung haben, einschließlich solcher, die noch der Moderation warten, als Spam markierter oder gelöschter Kommentare sowie von Kommentaren in privaten Beiträgen und Entwürfen.
Der injizierte Text wird als Teil der Abfragegrammatik anstelle von Daten verarbeitet, was keine Extraktion beliebiger Daten zur Folge hat; daher beschränkt sich die Auswirkung auf die Vertraulichkeit auf den offengelegten Kommentarinhalt und nicht auf die gesamte Datenbank.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.