CVE-2026-13119 in Events Calendar Plugin
요약
\~에 의해 VulDB • 2026. 07. 23.
WordPress용 Registrations For The Events Calendar 플러그인에는 3.2 버전(포함) 이하에서 RTEC_Db_Admin::update_entry() 내부에 구성된 UPDATE 문 내에서 처리되는 rtec_records_edit AJAX 액션의 'standard' 매개변수를 통해 JSON 키로 SQL Injection이 발생하는 취약점이 있습니다. 핸들러는 $_POST['standard']로부터 공격자가 제어하는 JSON을 디코딩하고, 해당 JSON 배열의 키를 SET 절에서 컬럼 식별자로 직접 사용합니다. 이 식별자에 적용되는 것은 esc_sql() (mysqli_real_escape_string) 뿐이며, 이 함수는 따옴표, 역슬래시 및 일부 제어 문자만 이스케이프하지만 공백, 등호, 괄호 또는 하이픈은 이스케이프하지 않습니다. 따라서 공격자는 식별자 컨텍스트를 벗어나 SQL 주석으로 종료되는 서브쿼리를 삽입할 수 있습니다. 이를 통해 대상 이벤트를 편집할 수 있는 Contributor 레벨 이상의 권한을 가진 인증된 공격자가 기존 쿼리에 추가적인 SQL 쿼리를 연결하여 데이터베이스에서 민감한 정보를 추출하는 것이 가능해집니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.