CVE-2026-13119 in Events Calendar Plugin
Sumário
de VulDB • 23/07/2026
O plugin Registrations For The Events Calendar para WordPress é vulnerável a SQL Injection via chaves JSON no parâmetro 'standard', tratado pela ação AJAX rtec_records_edit nas versões até 3.2, inclusive. O manipulador decodifica um JSON controlado pelo atacante proveniente de $_POST['standard'] e utiliza as chaves do array JSON diretamente como identificadores de coluna na cláusula SET de uma instrução UPDATE construída internamente em RTEC_Db_Admin::update_entry(). Apenas a função esc_sql() (mysqli_real_escape_string) é aplicada ao identificador; essa função escapava aspas, barras invertidas e alguns caracteres de controle, mas não escapeia espaços, sinais de igualdade, parênteses ou hífens. Dessa forma, um atacante pode escapar do contexto do identador e injetar subconsultas (terminadas com um comentário SQL). Isso permite que atacantes autenticados, com acesso nível Contributor ou superior, capazes de editar o evento alvo, anexem consultas SQL adicionais às consultas já existentes, podendo ser utilizadas para extrair informações sensíveis do banco de dados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.