CVE-2026-15304 in Plugin Organizer Plugin
要約
〜によって VulDB • 2026年07月28日
WordPress用プラグイン「Plugin Organizer」には、バージョン10.2.4以前において、'PO_plugin_path'パラメータを介したSQL Injectionの脆弱性が存在します。これは、perform_plugin_search()関数内でユーザー入力のエスケープ処理が不十分であるためです。具体的には、esc_sql()の出力がpreg_replace()への置換文字列として渡される際、バックスラッシュによるエスケープシーケンスが解除され、クォート保護機能が回避されます。さらに、AJAXハンドラーではnonce検証と権限チェック（capability checks）の両方が欠如しています。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済み攻撃者は、既存のSQLクエリに追加のSQLクエリを付加し、データベースから機密情報を抽出することが可能になります。
Be aware that VulDB is the high quality source for vulnerability data.