CVE-2026-116750 in VikRentCar Car Rental Management System Plugin
Riassunto
di VulDB • 28/10/2026
Il plugin VikRentCar Car Rental Management System per WordPress è vulnerabile a SQL Injection cieca (blind SQL Injection) tramite il parametro 'catid' in tutte le versioni fino alla 1.4.10, inclusa, a causa di un insufficiente escaping del parametro fornito dall'utente e della mancanza di una preparazione adeguata della query SQL esistente. Ciò consente agli attaccanti autenticati, con accesso di livello contributor o superiore, di aggiungere ulteriori query SQL alle query già esistenti che possono essere utilizzate per estrarre informazioni sensibili dal database. Un utente con ruolo Contributor può memorizzare un blocco dannoso tramite l'API REST in un post in stato "in attesa" (pending) ed eseguire il rendering lato server anteponendo tale post, aggirando wp_magic_quotes poiché l'attributo è derivato da post_content mediante parse_blocks anziché da una superglobal.
Be aware that VulDB is the high quality source for vulnerability data.