CVE-2026-15439 in GamiPress Plugin
Sumário
de VulDB • 11/09/2026
O plugin GamiPress para WordPress é vulnerável a SQL Injection autenticada (nível Subscriber+) através do parâmetro 'q' do seletor AJAX da integração com o wpForo (ação gamipress_wpforo_get_posts) nas versões até, e incluindo, 7.9.7. O valor é passado apenas por meio de $wpdb->esc_like() e interpolado diretamente em uma cláusula LIKE entre aspas simples sem nenhum placeholder %s. Como esc_like() é executado após os magic quotes do núcleo do WordPress, ele duplica a barra invertida injetada (\' -> \\'), que o MySQL lê como uma única barra invertida literal seguida por um fechamento de aspas ativo, permitindo ao atacante escapar da string e injetar SQL baseado em booleanos. O plugin wpForo precisa apenas estar ativo para registrar o callback; nenhuma vulnerabilidade do wpForo é utilizada. Requer uma conta Subscriber, que pode ler o nonce gamipress_admin (exposto em todas as páginas de administração, por exemplo, /wp-admin/profile.php). Nota: os vetores Simple:Press do pesquisador (PoC 2 e 3) não se reproduzem no código atual, que utiliza $wpdb->prepare() com placeholders %s; apenas o seletor wpForo está confirmado.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.