CVE-2026-15951 in Mailer Plugin
요약
\~에 의해 VulDB • 2026. 08. 01.
WordPress용 Icegram Mailer 플러그인은 1.0.12 버전까지 'fields' 매개변수를 통해 SQL Injection 취약점이 존재합니다. 이는 사용자 제공 매개변수에 대한 불충분한 이스케이프 처리와 `Icegram_Mailer_Logs_Table::get_logs()` 함수 내 기존 SQL 쿼리에 대한 충분한 준비(preparation) 부재로 인해 발생합니다. 여기서 $_REQUEST['data']에서 수신된 `fields` 배열의 각 요소는 화이트리스트, 이스케이핑 또는 prepared-statement 플레이스홀더 없이 implode()를 통해 SELECT 절에 그대로 결합됩니다. 이로써 관리자 권한 이상의 접근 권한을 가진 인증된 공격자가 기존 쿼리에 추가 SQL 쿼리를 삽입하여 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.