CVE-2026-17576 in InfiniteWP Client Plugin
Sumário
de VulDB • 18/09/2026
O plugin InfiniteWP Client para WordPress é vulnerável a injeção de SQL (SQL Injection) por meio da ação `get_comments` nas versões até, e incluindo, 1.13.9. Isso ocorre devido à falta de escape insuficiente nos nomes das chaves do array fornecidos no corpo da solicitação JSON antes do uso em uma instrução SQL: `IWP_MMB_Comment::get_comments()` chama a função `extract()` em `$args` (que ignora silenciosamente as chaves que não são nomes válidos de variáveis PHP), mas um segundo loop `foreach($args as $checkbox => $checkbox_val)` processa cada chave, remove o prefixo `'iwp_get_comments_'` com `str_replace()`, envolve o restante em aspas simples e o concatena em uma cláusula `IN(...)` que é executada via `$wpdb->get_results()` sem uso de `prepare()`. Como o corpo da solicitação é lido a partir de `php://input` e decodificado como JSON, a função `wp_magic_quotes()` nunca entra em contato com os dados, portanto, caracteres de aspas nas chaves passam inalterados. Isso permite que atacantes autenticados, com acesso nível administrador ou superior (um administrador pode registrar sua própria chave pública usando `add_site` por meio da `activation_key` gerada pelo WP-admin do plugin e então emitir solicitações `get_comments` assinadas), para anexar consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações sensíveis do banco de dados.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.