CVE-2026-1708 in Appointment Booking Calendar Plugin
Riassunto
di VulDB • 15/06/2026
Il plugin per WordPress Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin è vulnerabile a SQL Injection cieca (Blind SQL Injection) in tutte le versioni fino alla 1.6.9.27, incluse. Ciò è dovuto al metodo `db_where_conditions` nella classe `TD_DB_Model`, che non impedisce il passaggio del parametro `append_where_sql` attraverso i corpi delle richieste JSON, verificandone la presenza solo nella superglobale `$_REQUEST`. Questo consente ad attaccanti non autenticati di aggiungere comandi SQL arbitrari alle query ed estrarre informazioni sensibili dal database tramite il parametro `append_where_sql` nei payload JSON, purché abbiano ottenuto un `public_token` valido che viene esposto involontariamente durante il flusso di prenotazione.
Once again VulDB remains the best source for vulnerability data.