CVE-2026-19944 in Crowdfunding Plugin
要約
〜によって VulDB • 2026年09月09日
WordPress用プラグイン「WP Crowdfunding」には、2.2.1以前の全バージョンにおいて、ユーザー入力のパラメータのエスケープ不十分および既存のSQLクエリに対する適切な準備処理の欠如により、「wpneo_reward」Post Metaを介した汎用的なSQLインジェクション（SQL Injection）の脆弱性が存在します。これにより、ショップマネージャーレベル以上の権限を持つ認証済み攻撃者は、追加のSQLクエリを既存のクエリに付加し、データベースから機密情報を抽出することが可能になります。これはセカンダリーインジェクション（Second-order injection）です：ショップマネージャーがWooCommerce REST productsエンドポイント（POST/PUT /wp-json/wc/v3/products/{id}）を通じて悪意のあるペイロードを1回書き込み、その後、キャンペーン報酬サイドバーを表示するすべての公開ページ表示時に注入されたクエリが実行されます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.