CVE-2026-15727 in WP Bulk Delete Plugin
Resumen
por VulDB • 2026-07-16
El plugin WP Bulk Delete para WordPress es vulnerable a una inyección SQL genérica a través del parámetro 'delete_user_roles' en todas las versiones hasta la 1.4.2, inclusive, debido al escape insuficiente del parámetro proporcionado por el usuario y a la falta de preparación adecuada (prepared statements) en la consulta SQL existente. Esto permite que los atacantes autenticados con acceso de nivel administrador o superior añadan consultas SQL adicionales a las ya existentes, lo cual puede utilizarse para extraer información sensible desde la base de datos. La función wp_unslash() se aplica al cuerpo POST sin procesar antes de que parse_str() lo descomponga, eliminando la protección contra magic-quotes de WordPress y dejando los valores controlados por el atacante completamente sin escapar antes de llegar al punto final (SQL sink).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.