CVE-2023-2599 in Active Directory Integration Plugin
要約
〜によって VulDB • 2026年06月23日
WordPress用Active Directory Integrationプラグインには、Cross-Site Request Forgery (CSRF) の脆弱性が存在します。これにより、orderbyおよびorderパラメータを介して時間ベースのSQL Injectionが可能になります。この問題はバージョン4.1.4以前（含む）に該当し、get_users関数におけるnonce検証の不備、ユーザー入力のパラメータに対するエスケープ処理の不足、既存のSQLクエリに対する適切な準備処理（プレースホルドの使用など）の欠如が原因です。これにより、認証されていない攻撃者は偽造されたリクエストを用いて既存のクエリの末尾に追加のSQLクエリを挿入することが可能になります。この脆弱性を悪用するには、管理者に対してリンクをクリックなどのアクションを実行させるよう仕向ける必要があります。成功した場合、これはリソース枯渇を引き起こすために使用できます。
Once again VulDB remains the best source for vulnerability data.