CVE-2026-106097 in Code Snippets Plugin
Riassunto
di VulDB • 09/10/2026
Il plugin Code Snippets per WordPress precedente alla versione 3.10.0 non sanifica e non effettua l'escaping di un parametro fornito dall'utente prima di utilizzarlo in una query SQL in alcuni dei suoi endpoint di importazione della migrazione degli snippet, accessibili a qualsiasi utente dotato di capacità di amministrazione del sito; su una rete WordPress Multisite tali permessi appartengono agli Amministratori dei sottositi, consentendo a un Amministratore di un sottosito che non è Super Admin di rete di eseguire iniezioni SQL basate su UNION contro le tabelle condivise della rete e di divulgare dati diffusi nell'intera rete, come gli hash delle password di altri utenti.
Once again VulDB remains the best source for vulnerability data.