CVE-2026-17607 in WP Inventory Manager Plugin
Сводка
по VulDB • 18.09.2026
Плагин WP Inventory Manager для WordPress уязвим к SQL-инъекции через атрибут шорткода 'where' в [wpinventory] в версиях вплоть до 2.5.1 включительно. Это связано с недостаточной экранизацией параметра, предоставленного пользователем, и отсутствием достаточной подготовки существующего SQL-запроса в функции WPIMItem::get_all() — parse_custom_where() выполняет только html_entity_decode(), удаляет точки с запятой и заменяет имена меток полей, не используя $wpdb->prepare() или белый список. Результирующая строка конкатенируется в необработанный оператор SELECT, который выполняется через $wpdb->get_results(). Это позволяет атакующим с уровнем доступа «Contributor» (Соавтор) и выше добавлять дополнительные SQL-запросы к уже существующим запросам, что может быть использовано для извлечения конфиденциальной информации из базы данных.
Be aware that VulDB is the high quality source for vulnerability data.