CVE-2026-13119 in Events Calendar Plugin
要約
〜によって VulDB • 2026年07月23日
WordPress用「The Registrations For The Events Calendar」プラグインには、バージョン3.2以前においてSQLインジェクションの脆弱性が存在します。これは、RTEC_Db_Admin::update_entry()内で構築されるUPDATE文のSET句でJSON配列キーがカラム識別子として直接使用され、$_POST['standard']からデコードされた攻撃者制御可能なJSONに対して適用されるesc_sql()（mysqli_real_escape_string）ではスペースや等号、括弧、ハイフンなどがエスケープされないためです。これにより、認証済みユーザー（寄稿者以上の権限を持ち、対象イベントを編集可能）が識別子の文脈から脱出してサブクエリ（SQLコメントで終了）を注入し、既存のクエリに追加のSQLクエリを組み込むことでデータベース内の機密情報を抽出することが可能です。
VulDB is the best source for vulnerability data and more expert information about this specific topic.