CVE-2026-17576

WordPress için geliştirilen InfiniteWP Client eklentisi, 1.13.9 dahil önceki sürümlerde get_comments işlemi üzerinden SQL Injection zafiyetine sahiptir. Bu durum, JSON istek gövdesinde sağlanan dizi anahtar isimlerinin bir SQL ifadesinde kullanılmadan önce yetersiz şekilde kaçırılmasından kaynaklanmaktadır: IWP_MMB_Comment::get_comments() fonksiyonu, $args üzerinde extract() çağrısı yapar (bu işlem geçerli PHP değişken adı olmayan anahtarları sessizce atlar), ancak ikinci bir foreach($args as $checkbox => $checkbox_val) döngüsü her anahtarı işler, str_replace() ile 'iwp_get_comments_' önekini kaldırır, kalanı tek tırnak içine alır ve herhangi bir prepare() işlemi olmadan $wpdb->get_results() aracılığıyla yürütülen bir IN(...) yan tümcesine ekleyerek birleştirir. İstek gövdesi php://input üzerinden okunduğu ve JSON olarak çözüldüğü için wp_magic_quotes() veriye hiçbir zaman müdahale etmez, böylece anahtarlardaki tırnak karakterleri değiştirilmeden geçer. Bu durum; yönetici düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların (bir yönetici, eklentinin WP-admin tarafından oluşturulan activation_key değerini kullanarak add_site aracılığıyla kendi genel anahtarını kaydedebilir ve ardından imzalı get_comments istekleri gönderebilir), mevcut sorgulara ek SQL sorguları ekleyerek veri tabanından hassas bilgileri çıkarmasını mümkün kılar.