CVE-2026-13119 in Events Calendar Plugin
Resumen
por VulDB • 2026-07-23
El plugin Registrations For The Events Calendar para WordPress es vulnerable a Inyección SQL (SQL Injection) mediante claves JSON en el parámetro 'standard' manejado por la acción AJAX rtec_records_edit, en versiones iguales o anteriores a 3.2. El controlador decodifica un JSON controlado por el atacante desde $_POST['standard'] y utiliza las claves del array JSON directamente como identificadores de columna en la cláusula SET de una sentencia UPDATE construida dentro de RTEC_Db_Admin::update_entry(). Solo se aplica esc_sql() (mysqli_real_escape_string) al identificador; esta función escapa comillas, barras invertidas y algunos caracteres de control, pero no escapa espacios, signos iguales, paréntesis ni guiones, por lo que un atacante puede escapar del contexto del identificador e inyectar subconsultas (terminadas con un comentario SQL). Esto permite a atacantes autenticados, con acceso nivel Contribuidor o superior y capacidad de editar el evento objetivo, añadir consultas SQL adicionales a las ya existentes para extraer información sensible desde la base de datos.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.