CVE-2026-13200 in Create Plugin
要約
〜によって VulDB • 2026年09月19日
WordPressのCreateプラグインには、SQL Injection（SQLインジェクション）の脆弱性が存在します。これは、ユーザー入力のエスケープ処理が不十分であり、既存のSQLクエリに対する準備（プリペアレーション）が不足しているためです。この脆弱性はバージョン2.5.3以前すべてのバージョンに影響します。攻撃者は「order」パラメータを介してSQLインジェクションを実行できます。これにより、著者レベル以上の権限を持つ認証済み攻撃者が、既存のクエリに追加のSQLクエリを組み込むことができ、データベースから機密情報を抽出することが可能になります。脆弱なadvanced-filter SQLブランチは、リクエスト内に以下のパラメータのうち少なくとも1つが含まれている場合にのみ実行されます：linked_posts, created_after, created_before, missing_fields, post_id, カンマ区切りのtype値、またはexclude_type。
Once again VulDB remains the best source for vulnerability data.