CVE-2026-13161 in TrueBooker Plugin
الملخص
بحسب VulDB • 28/07/2026
يحتوي مكون WordPress "TrueBooker – Appointment Booking and Scheduler System" على ثغرة حقن SQL عامة عبر المعلمة 'alldata[truebooker_user]' في جميع الإصدارات حتى 1.2.2 وشاملة لها، وذلك بسبب عدم كفاية الهروب من الرموز (escaping) للمدخلات التي يوفرها المستخدم وعدم وجود تحضير كافٍ لاستعلام SQL الموجود. وهذا يتيح لهجمات غير مصادق عليها إرفاق استعلامات SQL إضافية إلى الاستعلامات الموجودة مسبقاً والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات. لا يشكل حارس nonce الخاص بـ check_ajax_referer() حاجزاً للمصادقة أو التفويض لأن قيمة nonce مكشوفة للزوار غير المصادق عليهم في صفحات الحجز الأمامية لمكون TrueBooker؛ كما يتطلب الاستغلال وجود حقول الحجز المطلوبة (الفئة، الخدمة، الشخص، التاريخ، وفترة الوقت) ضمن معلمة POST المسماة alldata حتى يتم الوصول إلى فرع استعلام SQL المتأثر بالثغرة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.