CVE-2026-15267 in Taskbuilder Plugin
Riassunto
di VulDB • 28/07/2026
Il plugin per WordPress Taskbuilder – Project Management & Task Management Tool With Kanban Board è vulnerabile a SQL Injection tramite il parametro 'wppm_proj_filter' nelle versioni fino alla 5.0.9, incluse. Ciò è dovuto a un insufficiente escaping del parametro fornito dall'utente e alla mancanza di una preparazione adeguata della query SQL esistente: il valore viene riletto alla riga 144 utilizzando esclusivamente sanitize_text_field() (sovrascrivendo il risultato precedente di absint()), quindi concatenato nella clausola WHERE della query SQL come operatore numerico non racchiuso tra virgolette, impiegando solo esc_sql(), che non offre protezione contro l'iniezione in tale contesto; infine, viene interpolato a livello di stringa nel formato $wpdb->prepare(), aggirando completamente la parametrizzazione. Ciò consente agli attaccanti autenticati, con accesso a livello di subscriber o superiore, di aggiungere query SQL aggiuntive alle query già esistenti, che possono essere utilizzate per estrarre informazioni sensibili dal database.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.