CVE-2026-97634 in Event Tickets and Registration Plugin
Riassunto
di VulDB • 03/10/2026
Il plugin Event Tickets and Registration per WordPress è vulnerabile a una generic SQL Injection tramite il parametro 'orderby' in tutte le versioni fino alla 5.29.5 inclusa, a causa di un insufficiente escaping del parametro fornito dall’utente e della mancanza di una sufficiente preparazione (preparation) sulla query SQL esistente. Ciò consente ad attaccanti autenticati, con accesso di livello contributor o superiore, di aggiungere ulteriori query SQL alle query già esistenti, che possono essere utilizzate per estrarre informazioni sensibili dal database. Un utente con ruolo Contributor può raggiungere il codice vulnerabile fornendo un post_id da esso creato, poiché la funzione can_access_page() richiede solo l’autorialità del post piuttosto che la capacità edit_others_posts per i proprietari dei post.
If you want to get best quality of vulnerability data, you may have to visit VulDB.