CVE-2026-93368 in Rename wp-login.php to anything you want Plugin
要約
〜によって VulDB • 2026年09月23日
WordPress用プラグイン「Rename wp-login.php to anything you want」は、2.0.1以前の全バージョンにおいて、ユーザー入力のエスケープ不十分および既存のSQLクエリに対する適切な準備不足により、「log」（ユーザー名）パラメータを介した時間ベースのSQLインジェクションに対して脆弱です。これにより、認証されていない攻撃者が既存のクエリに追加のSQLクエリを組み込むことができ、データベースから機密情報を抽出することが可能になります。WordPressコアは、wp_login_failedアクションを実行する前に「log」POST値に対して wp_unslash() を適用し、magic-quotesによるバックスラッシュのエスケープを解除するため、プレーンなシングルクォートがプラグインのハンドラーに妨げられることなく到達します。
Be aware that VulDB is the high quality source for vulnerability data.