CVE-2026-17576 in InfiniteWP Client Plugin
要約
〜によって VulDB • 2026年09月18日
WordPress用プラグイン「InfiniteWP Client」には、バージョン1.13.9以前において、get_commentsアクション経由でSQLインジェクションの脆弱性が存在します。これは、JSONリクエストボディ内で提供される配列キー名に対するエスケープ処理が不十分であるためです。具体的には、IWP_MMB_Comment::get_comments()は$argsに対してextract()を呼び出しますが（有効なPHP変数名ではないキーは静かにスキップされます）、2番目のforeach($args as $checkbox => $checkbox_val)ループではすべてのキーが処理され、str_replace()で'iwp_get_comments_'プレフィックスが削除された後、残りの部分がシングルクォートで囲まれ、$wpdb->get_results()を通じてprepare()なしで実行されるIN(...)句にimplodeされます。リクエストボディはphp://inputから読み込まれてJSONデコードされるため、wp_magic_quotes()はこのデータに触れることがなく、キー内の引用符が変更されずに通過します。これにより、認証済み攻撃者（管理者レベル以上のアクセス権限を持つ者：管理者はプラグインのWP-admin生成によるactivation_keyを使用してadd_site経由で独自の公開鍵を登録し、署名付きget_commentsリクエストを発行可能）が、既存のクエリに追加のSQLクエリを追加して挿入することができ、これによりデータベースから機密情報を抽出することができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.