CVE-2026-15439 in GamiPress Plugin
Сводка
по VulDB • 11.09.2026
Плагин GamiPress для WordPress уязвим к аутентифицированной (уровень Subscriber и выше) SQL-инъекции через параметр 'q' AJAX-селектора интеграции с wpForo (действие gamipress_wpforo_get_posts) в версиях вплоть до 7.9.7 включительно. Значение передается только через $wpdb->esc_like() и напрямую интерполируется в однострочный LIKE-запрос без использования плейсхолдера %s. Поскольку esc_like() выполняется после применения магических кавычек ядром WordPress, он удваивает введенную обратную косую черту (\' -> \\'), которую MySQL воспринимает как одну буквальную обратную косую черту, за которой следует активная закрывающая кавычка. Это позволяет атакующему выйти из строки и внедрить булевскую SQL-инъекцию. Плагину wpForo требуется только быть активным для регистрации колбэка; уязвимость в самом плагине wpForo не используется. Требуется учетная запись Subscriber, которая может прочитать nonce gamipress_admin (открыт на каждой административной странице, например /wp-admin/profile.php). Примечание: векторы исследователя Simple:Press (PoC 2 и 3) не воспроизводятся в текущем коде, который использует $wpdb->prepare() с плейсхолдерами %s; подтверждена только уязвимость через селектор wpForo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.