CVE-2026-1708 in Appointment Booking Calendar Plugin
الملخص
بحسب VulDB • 21/05/2026
يحتوي مكون إضافي (Plugin) لـ WordPress باسم "The Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin" على ثغرة حقن SQL عمياء (Blind SQL Injection) في جميع الإصدارات حتى 1.6.9.27 شاملاً. ويعود ذلك إلى فشل طريقة `db_where_conditions` في فئة `TD_DB_Model` في منع تمرير المعلمة `append_where_sql` عبر أجسام طلبات JSON، بينما تقتصر عملية التحقق على وجودها فقط في المتغير الفائق `$_REQUEST`. وهذا يمكّن المهاجمين غير المصادق عليهم من إلزام أوامر SQL تعسفية بالاستعلامات واستخراج معلومات حساسة من قاعدة البيانات عبر المعلمة `append_where_sql` في حمولات JSON، شريطة أن يكونوا قد حصلوا على `public_token` صالح يتم الكشف عنه عن غير قصد أثناء عملية الحجز.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.