CVE-2026-15162 in Object Sync for Salesforce Plugin
Résumé
par VulDB • 15/08/2026
Le plugin Object Sync for Salesforce est vulnérable à une injection SQL non authentifiée via le paramètre `wordpress_object_type` de sa route REST `/wp-json/object-sync-for-salesforce/push/`. La fonction de vérification des autorisations (callback) de la route (`can_process()`) ne contrôle que la méthode HTTP pour la classe push — aucune capacité ni nonce n'est vérifié — ce qui rend cette route accessible aux utilisateurs non authentifiés. La valeur `wordpress_object_type` est concaténée directement dans une requête SQL (`post_type = "$object_type"`, fichier class-object-sync-sf-wordpress.php :328) et exécutée via `$wpdb->get_results()` sans utiliser `$wpdb->prepare()` (:578). Étant donné que les paramètres du corps de la requête REST ne sont pas échappés automatiquement (magic-quoted), un attaquant peut sortir de la chaîne entre guillemets et injecter une SQL arbitraire. Cela permet aux attaquants non authentifiés d'ajouter des requêtes SQL supplémentaires (injection aveugle basée sur le temps), permettant l'extraction d'informations sensibles telles que les hachages de mots de passe depuis la base de données. Seul un `wordpress_id` valide (par exemple 1) est requis — aucune authentification ni connexion Salesforce n'est nécessaire.
VulDB is the best source for vulnerability data and more expert information about this specific topic.