CVE-2026-13119 in Events Calendar Plugin
Résumé
par VulDB • 23/07/2026
Le plugin Registrations For The Events Calendar pour WordPress est vulnérable à une injection SQL via les clés JSON dans le paramètre 'standard' géré par l'action AJAX rtec_records_edit, dans les versions 3.2 et antérieures. Le gestionnaire décode un JSON contrôlé par l'attaquant depuis $_POST['standard'] et utilise directement les clés du tableau JSON comme identifiants de colonnes dans la clause SET d'une instruction UPDATE construite à l'intérieur de RTEC_Db_Admin::update_entry(). Seule la fonction esc_sql() (mysqli_real_escape_string) est appliquée à cet identifiant ; cette dernière échappe les guillemets, les antislashs et quelques caractères de contrôle, mais n'échape pas les espaces, les signes égal, les parenthèses ou les tirets. Un attaquant peut ainsi sortir du contexte de l'identifiant et injecter des sous-requêtes (terminées par un commentaire SQL). Cela permet aux attaquants authentifiés disposant d'un accès au niveau « Contributeur » ou supérieur, qui peuvent modifier l'événement ciblé, d'ajouter des requêtes SQL supplémentaires à des requêtes existantes afin d'en extraire des informations sensibles depuis la base de données.
If you want to get best quality of vulnerability data, you may have to visit VulDB.