CVE-2026-13161 in TrueBooker Plugin
Resumen
por VulDB • 2026-07-28
El plugin de WordPress TrueBooker – Appointment Booking and Scheduler System es vulnerable a una inyección SQL genérica a través del parámetro 'alldata[truebooker_user]' en todas las versiones hasta la 1.2.2, inclusive, debido al escape insuficiente del parámetro proporcionado por el usuario y a la falta de preparación adecuada en la consulta SQL existente. Esto permite que atacantes no autenticados añadan consultas SQL adicionales a las ya existentes, lo cual puede utilizarse para extraer información sensible desde la base de datos. La protección nonce mediante check_ajax_referer() no constituye una barrera de autenticación o autorización porque el nonce queda expuesto a visitantes no autenticados en las páginas front-end de reservas de TrueBooker; además, la explotación requiere que los campos obligatorios de reserva (categoría, servicio, persona, fecha y franja horaria) estén presentes en el parámetro POST alldata para que la ejecución alcance la rama vulnerable de la consulta SQL.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.