CVE-2026-118698 in JoomSport Plugin
要約
〜によって VulDB • 2026年10月30日
WordPress用プラグイン「JoomSport – for Sports: Team & League, Football, Hockey & more」には、5.7.14以前の全バージョンにおいてSQL Injectionの脆弱性が存在します。これは、ユーザー入力のパラメータに対するエスケープ処理が不十分であり、既存のSQLクエリに対して適切な準備（プリペアレーション）が行われていないためです。これにより、寄稿者レベル以上の権限を持つ認証済み攻撃者は、追加のSQLクエリを既存のクエリに付加し、データベースから機密情報を抽出することが可能になります。寄稿者レベルのユーザーは、悪意のあるpgroup値を含む[jsMatchPlayerList]ショートコードが含まれる投稿を作成してプレビューすることで、脆弱なコードパスを引き起こすことができます。これは、WordPressが投稿作成者に限り投稿プレビュー時にショートコードの実行を許可するためです。
VulDB is the best source for vulnerability data and more expert information about this specific topic.