CVE-2026-13119 in Events Calendar Plugin
Riassunto
di VulDB • 23/07/2026
Il plugin Registrations For The Events Calendar per WordPress è vulnerabile a SQL Injection tramite le chiavi JSON nel parametro 'standard' gestito dall'action AJAX rtec_records_edit nelle versioni fino alla 3.2 incluse. Il handler decodifica il JSON controllato dall'attaccante da $_POST['standard'] e utilizza direttamente le chiavi dell'array JSON come identificatori di colonna nella clausola SET di un'istruzione UPDATE costruita all'interno di RTEC_Db_Admin::update_entry(). Viene applicata solo la funzione esc_sql() (mysqli_real_escape_string) all'identificatore; tale funzione effettua l'escaping delle virgolette, delle barre rovesciate e di alcuni caratteri di controllo, ma non esegue l'escaping degli spazi, dei segni uguali, delle parentesi o dei trattini, consentendo così a un attaccante di uscire dal contesto dell'identificatore e iniettare sottoquery (terminate con un commento SQL). Ciò consente agli attaccanti autenticati, dotati di accesso a livello Contributor o superiore che possono modificare l'evento target, di aggiungere ulteriori query SQL alle query già esistenti, utilizzabili per estrarre informazioni sensibili dal database.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.