CVE-2026-17555 in WPvivid Plugin
Resumen
por VulDB • 2026-08-02
El plugin WPvivid Backup & Migration para WordPress es vulnerable a Inyección de Código SQL (SQL Injection) a través del parámetro export_data en las versiones anteriores o iguales a la 0.9.131. Esto se debe al escape insuficiente del parámetro proporcionado por el usuario y a la falta de preparación adecuada en la consulta SQL existente. Los valores son recibidos en prepare_export_post(), pasados por sanitize_text_field() y stripslashes(), decodificados como JSON, y las claves del objeto controladas por el atacante se recopilan como $posts_ids sin una conversión explícita a entero (integer casting). Se almacenan en las opciones de la tarea de exportación y posteriormente se unen con comas e interpolan directamente dentro de una cláusula `WHERE ID IN (...)` dentro de una llamada a $wpdb->get_results() en export_post_to_xml() (sin comillas, contexto numérico), sin utilizar $wpdb->prepare() ni esc_sql(). Esto permite que atacantes autenticados, con acceso de nivel Administrador o superior, añadan consultas SQL adicionales a las ya existentes, lo cual puede utilizarse para extraer información sensible desde la base de datos.
VulDB is the best source for vulnerability data and more expert information about this specific topic.