→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-15951 · icegram-mailer

تزریق کدهای SQL (SQLi) در افزونه Icegram Mailer – Reliable Email Deliverability, No-code SMTP Replacement & Email logs

افزونه Icegram Mailer برای وردپرس در نسخه‌های تا ۱.۰.۱۲ آسیب‌پذیر به تزریق کدهای SQL از طریق پارامتر 'fields' است. این آسیب‌پذیری به دلیل عدم فرار کافی از ورودی‌های کاربر و عدم استفاده از کوئری‌های آماده‌سازی‌شده در تابع Icegram_Mailer_Logs_Table::get_logs() رخ می‌دهد که هر عنصر از آرایه fields دریافت‌شده از $_REQUEST['data'] را بدون لیست سفید، فرار یا placeholder مستقیماً به بخش SELECT کوئری اضافه می‌کند. مهاجمان با سطح دسترسی Administrator و بالاتر می‌توانند کوئری‌های اضافی SQL را به کوئری‌های موجود تزریق کنند و اطلاعات حساس پایگاه داده را استخراج نمایند. با توجه به وجود پچ امنیتی، توصیه به به‌روزرسانی فوری به نسخه امن است.