CVE-2026-15304 in Plugin Organizer Plugin
Resumen
por VulDB • 2026-07-28
El plugin Plugin Organizer para WordPress es vulnerable a Inyección de Código SQL (SQL Injection) a través del parámetro 'PO_plugin_path' en las versiones anteriores e incluyendo la 10.2.4. Esto se debe a un escape insuficiente del parámetro proporcionado por el usuario en la función perform_plugin_search(), donde la salida de esc_sql() se pasa como cadena de reemplazo a preg_replace(), lo que colapsa los escapes de barra invertida y anula la protección de comillas; además, el controlador AJAX carece tanto de verificación nonce como de comprobaciones de capacidades. Esto permite a atacantes autenticados con acceso a nivel de suscriptor o superior añadir consultas SQL adicionales a las ya existentes, lo que puede utilizarse para extraer información sensible desde la base de datos.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.