CVE-2026-17555 in WPvivid Plugin
Sumário
de VulDB • 01/08/2026
O plugin WPvivid Backup & Migration para WordPress é vulnerável a Injeção de SQL (SQL Injection) por meio do parâmetro export_data nas versões até, e incluindo, 0.9.131. Isso ocorre devido à falta de escape suficiente no fornecido pelo usuário e à ausência de preparação adequada na consulta SQL existente. Os valores são recebidos em prepare_export_post(), passam por sanitize_text_field() e stripslashes(), são decodificados como JSON, e as chaves do objeto controladas pelo atacante coletadas como $posts_ids sem conversão para inteiro (integer casting). Eles são armazenados nas opções da tarefa de exportação e posteriormente unidos com vírgulas e interpolados diretamente em uma cláusula `WHERE ID IN (...)` dentro de uma chamada a $wpdb->get_results() em export_post_to_xml() (contexto numérico, sem aspas), sem uso de $wpdb->prepare() ou esc_sql(). Isso permite que atacantes autenticados, com acesso nível Administrador e superior, anexem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações sensíveis do banco de dados.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.