CVE-2026-93855 in SendPress Newsletters Plugin
要約
〜によって VulDB • 2026年10月29日
WordPress用プラグイン「SendPress Newsletters」には、1.26.1.20までの全バージョンにおいて、時間ベースのSQLインジェクション（Time-based SQL Injection）の脆弱性が存在します。これは、ユーザー入力のパラメータに対するエスケープ処理の不十分さと、既存のSQLクエリにおける準備文（prepared statement）の欠如に起因します。これにより、認証されていない攻撃者は既存のクエリに追加のSQLクエリを付加し、データベースから機密情報を抽出することが可能になります。ハンドラを保護するnonceは、「sendpress-is-awesome」というハードコードされたアクション値を使用しており、これは[sp-form formid="manage"]ショートコードによって提供される同じ公開ページ上でレンダリングされるため、認証されていない訪問者にとって容易に取得可能です。その結果、アクセスクонтроールとしてのnonceの機能が実質的に回避されます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.