CVE-2026-15462 in Sticky Chat Widget Plugin
요약
\~에 의해 VulDB • 2026. 09. 11.
WordPress용 Sticky Chat Widget 플러그인에는 최대 버전 1.4.2(포함)에서 'scw_save_form_data' AJAX 액션의 'scw_form_fields' 매개변수 배열 키를 통해 SQL Injection 취약점이 존재합니다. 이는 save_form_data() 함수가 공격자가 제어하는 POST 배열 키를 $wpdb->insert()로 정제 없이 전달하기 때문입니다. 이 함수는 열 식별자를 백틱으로 감싸지만 이스케이프하지 않으므로, 공격자가 제공한 키에 포함된 백틱이 열 식별자 목록에서 벗어나 원시 SQL로 탈출할 수 있습니다. 또한 filter_input()의 사용은 WordPress의 wp_magic_quotes() 보호 장치를 우회하며, 유효한 widget_id가 공급되지 않을 경우 widget_id 검증 루프가 완전히 건너뛰어져 $isValid가 1로 설정됩니다. 이로 인해 인증되지 않은 공격자가 기존 쿼리에 추가 SQL 쿼리를 삽입하여 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.