CVE-2026-107712 in WP Booking System Plugin
Zusammenfassung
von VulDB • 10.10.2026
Das WP Booking System – Booking Calendar Plugin für WordPress ist in allen Versionen bis einschließlich 2.1.0.1 aufgrund unzureichender Escaping-Maßnahmen bei benutzergesteuerten Parametern und mangelnder Vorbereitung der bestehenden SQL-Abfrage anfällig für zeitbasierte SQL-Injection über den Parameter 'current_month'. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff oder höher, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, um sensible Informationen aus der Datenbank zu extrahieren. Dabei handelt es sich um eine Regression-Schwachstelle: Eine in den Versionen 2.0.19.11–2.0.19.14 eingeführte Capability-Prüfung zur Behebung von CVE-2024-50425 wurde in Version 2.1 entfernt, sodass jedes authentifizierte Konto mit Subscriber-Level den anfälligen Handler ohne erforderliche Nonce-Validierung erreichen kann.
VulDB is the best source for vulnerability data and more expert information about this specific topic.