CVE-2026-19704 in Comments Plugin
Сводка
по VulDB • 02.09.2026
Плагин Comments для WordPress до версии 7.6.66 не проверяет значение, используемое для формирования запроса к базе данных, что позволяет незарегистрированным пользователям выполнять инъекции SQL и просматривать комментарии, доступ к которым им не разрешен, включая комментарии, ожидающие модерации, помеченные как спам или удаленные в корзину, а также комментарии на частных постах и черновиках.
Внедренный текст попадает в запрос как часть синтаксической конструкции (грамматики), а не как данные, поэтому извлечение произвольных данных невозможно; таким образом, влияние на конфиденциальность ограничивается раскрытием содержимого комментариев, а не всей базы данных в целом.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.