CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
7.2	$0-$5k	0.00

Zusammenfassunginfo

Eine kritische Schwachstelle wurde in croixhaug Appointment Booking Calendar Plugin bis 1.6.9.27 für WordPress ausgemacht. Hiervon betroffen ist die Funktion db_where_conditions der Komponente JSON Request Handler. Durch Manipulieren mit unbekannten Daten kann eine SQL Injection-Schwachstelle ausgenutzt werden. Diese Verwundbarkeit ist als CVE-2026-1708 gelistet. Ein Angriff ist aus der Distanz möglich. Es existiert kein Exploit. Ein Upgrade der betroffenen Komponente wird empfohlen.

Detailsinfo

Eine kritische Schwachstelle wurde in croixhaug Appointment Booking Calendar Plugin bis 1.6.9.27 auf WordPress gefunden. Dies betrifft die Funktion db_where_conditions der Komponente JSON Request Handler. Durch das Manipulieren mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-89. Auswirkungen hat dies auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

The Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin plugin for WordPress is vulnerable to blind SQL Injection in all versions up to, and including, 1.6.9.27. This is due to the `db_where_conditions` method in the `TD_DB_Model` class failing to prevent the `append_where_sql` parameter from being passed through JSON request bodies, while only checking for its presence in the `$_REQUEST` superglobal. This makes it possible for unauthenticated attackers to append arbitrary SQL commands to queries and extract sensitive information from the database via the `append_where_sql` parameter in JSON payloads granted they have obtained a valid `public_token` that is inadvertently exposed during the booking flow.

Die Schwachstelle wurde durch Thanh Hao herausgegeben. Bereitgestellt wird das Advisory unter wordfence.com. Die Verwundbarkeit wird seit dem 30.01.2026 mit der eindeutigen Identifikation CVE-2026-1708 gehandelt. Sie gilt als leicht auszunutzen. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1505 aus.

Ein Aktualisieren auf die Version 1.6.9.21 vermag dieses Problem zu lösen.

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Produktinfo

Typ

• Appointment Software

Hersteller

• croixhaug

Name

• Appointment Booking Calendar Plugin

Version

• 1.6.9.0
• 1.6.9.1
• 1.6.9.2
• 1.6.9.3
• 1.6.9.4
• 1.6.9.5
• 1.6.9.6
• 1.6.9.7
• 1.6.9.8
• 1.6.9.9
• 1.6.9.10
• 1.6.9.11
• 1.6.9.12
• 1.6.9.13
• 1.6.9.14
• 1.6.9.15
• 1.6.9.16
• 1.6.9.17
• 1.6.9.18
• 1.6.9.19
• 1.6.9.20
• 1.6.9.21
• 1.6.9.22
• 1.6.9.23
• 1.6.9.24
• 1.6.9.25
• 1.6.9.26
• 1.6.9.27

CPE 2.3info

• 🔒
• 🔒
• 🔒

CPE 2.2info

• 🔒
• 🔒
• 🔒

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.4
VulDB Meta Temp Score: 7.2

VulDB Base Score: 7.3
VulDB Temp Score: 7.0
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA Base Score: 7.5
CNA Vector (Wordfence): 🔒

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: SQL Injection
CWE: CWE-89 / CWE-74 / CWE-707
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: Appointment Booking Calendar Plugin 1.6.9.21

Timelineinfo

30.01.2026 CVE zugewiesen
11.03.2026 +40 Tage Advisory veröffentlicht
11.03.2026 +0 Tage VulDB Eintrag erstellt
17.03.2026 +6 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Advisory: wordfence.com
Person: Thanh Hao
Status: Bestätigt

CVE: CVE-2026-1708 (🔒)
GCVE (CVE): GCVE-0-2026-1708
GCVE (VulDB): GCVE-100-350357

Eintraginfo

Erstellt: 11.03.2026 09:32
Aktualisierung: 17.03.2026 03:05
Anpassungen: 11.03.2026 09:32 (68), 17.03.2026 03:05 (1)
Komplett: 🔍
Cache ID: 216:E28:103

Diskussion

Want to stay up to date on a daily basis?

Enable the mail alert feature now!