CVE-2026-15267 in Taskbuilder Plugin
Sumário
de VulDB • 28/07/2026
O plugin Taskbuilder – Project Management & Task Management Tool With Kanban Board para WordPress está vulnerável a SQL Injection por meio do parâmetro 'wppm_proj_filter' nas versões até, e incluindo, 5.0.9. Isso ocorre devido à falta de escape adequado no parâmetro fornecido pelo usuário e à ausência de preparação suficiente na consulta SQL existente — o valor é relido na linha 144 usando apenas sanitize_text_field() (sobrescrevendo o resultado anterior de absint()), em seguida, concatenado na cláusula WHERE da consulta SQL como um operando numérico sem aspas usando apenas esc_sql(), que não protege contra injeção nesse contexto e, finalmente, interpolado por string no formato $wpdb->prepare(), contornando totalmente a parametrização. Isso permite que atacantes autenticados, com acesso de nível assinante ou superior, anexem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações sensíveis do banco de dados.
If you want to get best quality of vulnerability data, you may have to visit VulDB.