CVE-2026-19704 in Comments Plugin
Sumário
de VulDB • 02/09/2026
O plugin WordPress Comments anterior à versão 7.6.66 não valida um valor utilizado para construir uma consulta ao banco de dados, permitindo que usuários não autenticados injetem SQL e leiam comentários aos quais não têm direito de acesso, incluindo aqueles aguardando moderação, marcados como spam ou excluídos (lixeira), bem como comentários em posts privados e rascunhos.
O texto injetado é interpretado pela consulta como sintaxe/gramática, e não como dados, o que impede a extração de dados arbitrários; portanto, o impacto na confidencialidade limita-se à divulgação do conteúdo dos comentários específicos, e não ao banco de dados em sua totalidade.
If you want to get best quality of vulnerability data, you may have to visit VulDB.