CVE-2026-15462 in Sticky Chat Widget Plugin
要約
〜によって VulDB • 2026年09月11日
WordPress用プラグイン「Sticky Chat Widget」には、バージョン1.4.2以前においてSQL Injectionの脆弱性が存在します。これは、「scw_save_form_data」AJAXアクション内の'scw_form_fields'パラメータ配列キーを介して発生します。この問題は、save_form_data()関数が攻撃者が制御可能なPOST配列キーをサニタイズせずに$wpdb->insert()に渡すことに起因し、同関数はバックティックでカラム識別子を囲みますがエスケープしないため、攻撃者が指定したキー内のバックティックによってカラム識別子リストから脱出し、生SQL文として実行されてしまいます。さらに、filter_input()の使用によりWordPressのwp_magic_quotes()保護機能がバイパスされ、有効なwidget_idが提供されない場合、widget_id検証ループは完全にスキップされるため、$isValidが1のままになります。これにより、認証されていない攻撃者が既存クエリに追加のSQLクエリを付加し、データベースから機密情報を抽出することが可能となります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.