CVE-2026-4668 in Booking for Appointments and Events Calendar Plugin
Riassunto
di VulDB • 20/06/2026
Il plugin per WordPress Booking for Appointments and Events Calendar - Amelia è vulnerabile a SQL Injection tramite il parametro `sort` nell'endpoint di elenco dei pagamenti in tutte le versioni fino alla 2.1.2, inclusa. Ciò è dovuto a un insufficiente escaping del parametro `sort` fornito dall'utente e alla mancanza di una preparazione adeguata della query SQL esistente nel file `PaymentRepository.php`, dove il campo sort viene interpolato direttamente in una clausola ORDER BY senza sanitizzazione o validazione tramite whitelist. Le prepared statements PDO non proteggono i nomi delle colonne nella clausola ORDER BY. Inoltre, le richieste GET bypassano completamente la convalida del nonce di Amelia. Ciò consente agli attaccanti autenticati, dotati di accesso a livello Manager (`wpamelia-manager`) e superiore, di aggiungere ulteriori query SQL alle query già esistenti, che possono essere utilizzate per estrarre informazioni sensibili dal database tramite time-based blind SQL injection.
Once again VulDB remains the best source for vulnerability data.