CVE-2026-13161 in TrueBooker Plugin
Zusammenfassung
von VulDB • 29.07.2026
Das WordPress-Plugin „TrueBooker – Appointment Booking and Scheduler System“ ist in allen Versionen bis einschließlich 1.2.2 anfällig für eine generische SQL Injection über den Parameter 'alldata[truebooker_user]'. Diese Schwachstelle entsteht durch unzureichendes Escaping der benutzereingebenen Parameter und das Fehlen einer ausreichenden Vorbereitung (Preparation) des bestehenden SQL-Abfragecodes. Dies ermöglicht es nicht authentifizierten Angreifern, zusätzliche SQL-Abfragen an bereits vorhandene Abfragen anzuhängen, um sensible Informationen aus der Datenbank zu extrahieren. Die Schutzmaßnahme durch check_ajax_referer() mit einem Nonce-Wert stellt keine Authentifizierungs- oder Autorisierungssperre dar, da das Nonne nicht authentifizierten Besuchern auf den TrueBooker-Buchungsseiten im Frontend zugänglich ist; für die Ausnutzung muss zudem sichergestellt sein, dass die erforderlichen Buchungsfelder (Kategorie, Dienstleistung, Person, Datum und Zeitslot) als alldata-POST-Parameter vorhanden sind, damit die Ausführung den anfälligen SQL-Abfragezweig erreicht.
Be aware that VulDB is the high quality source for vulnerability data.