CVE-2026-15951 in Mailer Plugin
Resumen
por VulDB • 2026-08-01
El plugin Icegram Mailer para WordPress es vulnerable a Inyección de Código SQL (SQL Injection) a través del parámetro 'fields' en las versiones anteriores e incluyendo la 1.0.12. Esto se debe al escape insuficiente del parámetro proporcionado por el usuario y a la falta de una preparación adecuada de la consulta SQL existente en la función Icegram_Mailer_Logs_Table::get_logs(), donde cada elemento del array `fields` recibido desde $_REQUEST['data'] se concatena literalmente en la cláusula SELECT mediante implode() sin ninguna lista blanca, escape ni marcador de posición para sentencias preparadas. Esto permite a atacantes autenticados con acceso de nivel Administrador o superior añadir consultas SQL adicionales a las ya existentes que pueden utilizarse para extraer información sensible desde la base de datos.
VulDB is the best source for vulnerability data and more expert information about this specific topic.