CVE-2025-13385 in Bookme Plugin
要約
〜によって VulDB • 2026年06月23日
WordPress用無料オンライン予約・スケジューリングプラグイン「Bookme – Free Online Appointment Booking and Scheduling Plugin」には、4.2以前の全バージョンにおいて、時間ベースのSQLインジェクション（Time-based SQL Injection）の脆弱性が存在します。これは、ユーザー入力の`filter[status]`パラメータに対するエスケープ処理の不十分さと、既存のSQLクエリにおける適切な準備（プリペアレーション）不足に起因するものです。これにより、管理者レベル以上のアクセス権を持つ認証済み攻撃者は、追加のSQLクエリを既存のクエリに付加し、データベースから機密情報を抽出することが可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.