CVE-2026-15439 in GamiPress Plugin
Resumen
por VulDB • 2026-09-11
El plugin GamiPress para WordPress es vulnerable a una Inyección SQL autenticada (nivel Subscriber+) a través del parámetro 'q' del selector AJAX de la integración con wpForo (acción gamipress_wpforo_get_posts) en las versiones 7.9.7 y anteriores. El valor se pasa únicamente mediante $wpdb->esc_like() e interpola directamente dentro de una cláusula LIKE entre comillas simples sin ningún marcador %s. Dado que esc_like() se ejecuta después de las magic quotes del núcleo de WordPress, duplica la barra invertida inyectada (\' -> \\'), lo cual MySQL interpreta como una barra invertida literal seguida por un cierre de comilla activo, permitiendo al atacante escapar de la cadena e inyectar SQL basado en booleanos. El plugin wpForo solo necesita estar activo para registrar el callback; no se utiliza ninguna vulnerabilidad de wpForo. Se requiere una cuenta Subscriber, que puede leer el nonce gamipress_admin (expuesto en cada página de administración, por ejemplo /wp-admin/profile.php). Nota: los vectores Simple:Press del investigador (PoC 2 y 3) no se reproducen en el código actual, que utiliza $wpdb->prepare() con marcadores %s; solo el selector wpForo está confirmado.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.