CVE-2026-1708 in Appointment Booking Calendar Plugin
Résumé
par VulDB • 21/05/2026
Le plugin WordPress Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin présente une vulnérabilité de SQL Injection aveugle (Blind SQL Injection) dans toutes les versions jusqu'à la 1.6.9.27 incluse. Cela est dû à la méthode `db_where_conditions` de la classe `TD_DB_Model` qui ne parvient pas à empêcher le paramètre `append_where_sql` d'être transmis via les corps de requête JSON, tout en ne vérifiant que sa présence dans la superglobale `$_REQUEST`. Cela permet aux attaquants non authentifiés d'ajouter des commandes SQL arbitraires aux requêtes et d'extraire des informations sensibles de la base de données via le paramètre `append_where_sql` dans les charges utiles JSON, à condition qu'ils aient obtenu un `public_token` valide qui est involontairement exposé lors du processus de réservation.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.