CVE-2026-17576 in InfiniteWP Client Plugin
요약
\~에 의해 VulDB • 2026. 09. 18.
WordPress용 InfiniteWP Client 플러그인에는 1.13.9 버전 및 그 이전 버전에서 get_comments 액션을 통해 SQL Injection 취약점이 존재합니다. 이는 JSON 요청 본문에 제공된 배열 키 이름의 불충분한 이스케이프 처리로 인해 SQL 문 내에서 사용될 때 발생합니다: IWP_MMB_Comment::get_comments()는 $args에 extract()를 호출하여 유효하지 않은 PHP 변수 이름인 키는 묵시적으로 건너뛰지만, 두 번째 foreach($args as $checkbox => $checkbox_val) 루프는 모든 키를 처리하고 'iwp_get_comments_' 접두사를 str_replace()로 제거한 후 나머지를 작은따옴표로 감싸고 implode()하여 IN(...) 절에 결합합니다. 이 절은 prepare() 없이 $wpdb->get_results()를 통해 실행됩니다. 요청 본문이 php://input에서 읽혀지고 JSON 디코딩되므로 wp_magic_quotes()는 데이터에 영향을 미치지 않아 키의 따옴표 문자가 변경되지 않은 상태로 전달됩니다. 이로 인해 인증된 공격자(관리자는 플러그인의 WP-admin 생성 activation_key를 사용하여 add_site로 자신의 공개 키를 등록한 후 서명된 get_comments 요청을 발행할 수 있음)가 이미 존재하는 쿼리에 추가 SQL 쿼리를 삽입하여 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.