CVE-2026-17576 in InfiniteWP Client Plugin
Resumen
por VulDB • 2026-09-18
El plugin InfiniteWP Client para WordPress es vulnerable a una inyección de SQL (SQL Injection) a través de la acción `get_comments` en las versiones 1.13.9 y anteriores. Esto se debe a un escape insuficiente de los nombres de claves del array proporcionados en el cuerpo de la solicitud JSON antes de su uso en una sentencia SQL: `IWP_MMB_Comment::get_comments()` llama a `extract()` sobre `$args` (lo que omite silenciosamente las claves que no son nombres válidos de variables PHP), pero un segundo bucle `foreach($args as $checkbox => $checkbox_val)` procesa cada clave, elimina el prefijo 'iwp_get_comments_' con `str_replace()`, envuelve el resto entre comillas simples y lo une en una cláusula IN(...) que se ejecuta mediante `$wpdb->get_results()` sin utilizar `prepare()`. Dado que el cuerpo de la solicitud se lee desde `php://input` y se decodifica como JSON, `wp_magic_quotes()` nunca toca los datos, por lo que los caracteres de comillas en las claves pasan sin alteraciones. Esto permite a atacantes autenticados, con acceso de nivel administrador o superior (un administrador puede registrar su propia clave pública mediante `add_site` utilizando la `activation_key` generada por WP-admin del plugin y luego emitir solicitudes firmadas `get_comments`), añadir consultas SQL adicionales a las ya existentes que pueden utilizarse para extraer información sensible de la base de datos.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.