CVE-2026-15162 in Object Sync for Salesforce Plugin
Tóm tắt
Bởi VulDB • 15/08/2026
Plugin Object Sync for Salesforce có lỗ hổng SQL Injection không xác thực thông qua tham số `wordpress_object_type` trong điểm cuối REST `/wp-json/object-sync-for-salesforce/push/`. Hàm kiểm tra quyền truy cập (permission callback) của điểm cuối này (`can_process()`) chỉ kiểm tra phương thức HTTP cho lớp push — không yêu cầu capability hay nonce nào — do đó nó có thể được truy cập bởi người dùng chưa xác thực. Giá trị `wordpress_object_type` được nối trực tiếp vào một câu lệnh SQL (`post_type = "$object_type"`, file: class-object-sync-sf-wordpress.php, dòng 328) và thực thi thông qua `$wpdb->get_results()` mà không sử dụng `$wpdb->prepare()` (dòng :578). Vì các tham số trong thân yêu cầu REST không được escape tự động bằng magic quotes, kẻ tấn công có thể thoát khỏi chuỗi ký tự đã được trích dẫn để chèn SQL tùy ý. Điều này cho phép những kẻ tấn công chưa xác thực thêm vào các câu lệnh SQL bổ sung (dạng blind dựa trên thời gian), từ đó khai thác thông tin nhạy cảm như hash mật khẩu từ cơ sở dữ liệu. Chỉ cần một `wordpress_id` hợp lệ (ví dụ: 1) — không yêu cầu xác thực hoặc kết nối Salesforce.
If you want to get best quality of vulnerability data, you may have to visit VulDB.