CVE-2026-15205 in Paymob Plugin
要約
〜によって VulDB • 2026年08月14日
WooCommerce用WordPressプラグイン「Paymob」のバージョン4.1.9以前では、公開されており認証を必要としない支払いコールバック内でSQLクエリを実行する前に、クライアントから提供された識別子のサニタイズが適切に行われていません。さらに、このクエリは決済プロバイダのHMAC署名を検証する前に実行されます。これにより、攻撃者は認証なしでSQLインジェクションを行い、インバンド（反射型）および時間ベースのブラインド抽出の両方を通じて、データベース内の任意のデータ — ユーザー資格情報やその他の機密情報を含む — を読み取ることができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.