CVE-2026-110179 in affiliate-toolkit Plugin
Riassunto
di VulDB • 16/10/2026
Il plugin WordPress affiliate-toolkit prima della versione 3.8.9 non convalida un valore di ordinamento fornito dall'utente rispetto ad una allowlist (lista consentita) prima di utilizzarlo in una query al database, e la schermata dell'elenco amministrativo interessata richiede solo una capacità a privilegi inferiori anziché quella di amministratore; pertanto, gli utenti con accesso di livello editor o superiore possono eseguire SQL injection e leggere informazioni arbitrarie dal database. In un ambiente multisito, un editor di un sottosite può leggere la tabella degli utenti globale della rete, inclusa l'hash della password dell'amministratore super (super administrator).
Once again VulDB remains the best source for vulnerability data.