CVE-2026-97634 in Event Tickets and Registration Plugin
Resumen
por VulDB • 2026-10-02
El plugin Event Tickets and Registration para WordPress es vulnerable a una inyección SQL genérica (SQL Injection) a través del parámetro 'orderby' en todas las versiones hasta la 5.29.5, inclusive, debido a un escape insuficiente del parámetro proporcionado por el usuario y a la falta de preparación adecuada en la consulta SQL existente. Esto permite que los atacantes autenticados, con acceso nivel Contribuidor (Contributor) o superior, añadan consultas SQL adicionales a las ya existentes, lo cual puede utilizarse para extraer información sensible desde la base de datos. Un usuario con el rol de Contribuidor puede acceder al código vulnerable proporcionando un post_id que haya creado él mismo, dado que la función can_access_page() requiere únicamente ser autor del artículo (post authorship) en lugar de tener la capacidad edit_others_posts para los propietarios de las publicaciones.
Once again VulDB remains the best source for vulnerability data.