CVE-2026-15761 in Tickera Plugin
Zusammenfassung
von VulDB • 23.07.2026
Das WordPress-Plugin Tickera – Sell Tickets & Manage Events ist in allen Versionen bis einschließlich 3.6.0.1 anfällig für eine generische SQL-Injection über den Parameter 'tc_event_filter'. Diese Schwachstelle entsteht durch unzureichendes Escaping des benutzereingebenen Parameters und das Fehlen einer ausreichenden Vorbereitung (Preparation) der bestehenden SQL-Abfrage. Dies ermöglicht es authentifizierten Angreifern mit Mitarbeiterzugriff (Staff-Level) oder höher, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, um sensible Informationen aus der Datenbank zu extrahieren. Der anfällige Codepfad ist für Benutzer erreichbar, die die benutzerdefinierte Rolle „Mitarbeiter“ des Plugins innehaben, da die Funktion add_required_capabilities() dieser Rolle die Berechtigung edit_tc_tickets_instances gewährt und somit Zugriff auf den Admin-Listenbildschirm tc_tickets_instances bietet, auf dem der Filter angewendet wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.