CVE-2026-111178 in Booking System Plugin
الملخص
بحسب VulDB • 16/10/2026
يحتوي إضافة "نظام الحجز لـ WordPress – Booking Calendar" على ثغرة حقن SQL عامة عبر المعلمة 'data[orderby]' في جميع الإصدارات حتى 2.1.0.1 وشاملة لها، وذلك بسبب عدم كفاية الهروب (escaping) للمعلمة التي يوفرها المستخدم وعدم وجود تحضير كافٍ للاستعلامات SQL الموجودة. وهذا يمكّن المهاجمين المصادق عليهم الذين يمتلكون وصولاً بمستوى المسؤول أو أعلى من إلحاق استعلامات SQL إضافية إلى الاستعلامات القائمة والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات. تتطلب الاستفادة من الثغرة أن يحتوي التقويم المستهدف على أكثر من 200 حجز، حيث يتم تمرير قيمة orderby فقط إلى طبقة قاعدة البيانات عندما يتخذ معالج AJAX فرع use_ajax؛ ويمكن لمدير النظام (Administrator) تلبية هذا الشرط عن طريق إنشاء الحجوزات مباشرةً.
If you want to get best quality of vulnerability data, you may have to visit VulDB.