CVE-2026-17555 in WPvivid Plugin
要約
〜によって VulDB • 2026年08月01日
WordPress用プラグイン「WPvivid Backup & Migration」には、バージョン0.9.131以前において、export_dataパラメータを介したSQL Injectionの脆弱性が存在します。これは、ユーザー入力のエスケープが不十分であり、既存のSQLクエリに対する適切な準備処理（プレースホルダーの使用など）が行われていないことに起因します。値はprepare_export_post()で受信され、sanitize_text_field()およびstripslashes()を通過し、JSONデコードされた後、攻撃者が制御可能なJSONオブジェクトのキーが整数変換なしで$posts_idsとして収集されます。これらはエクスポートタスクオプションに保存され、その後export_post_to_xml()内の$wpdb->get_results()呼び出しにおいてカンマ区切りで結合され、`WHERE ID IN (...)`句内に直接補間されます（引用符なしの数値コンテキスト）。この際、$wpdb->prepare()やesc_sql()が使用されていません。これにより、管理者レベル以上の権限を持つ認証済み攻撃者は、既存のクエリに追加のSQLクエリを付加し、データベースから機密情報を抽出することが可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.