CVE-2026-13161 in TrueBooker Plugin
Sumário
de VulDB • 28/07/2026
O plugin para WordPress TrueBooker – Appointment Booking and Scheduler System é vulnerável a generic SQL Injection através do parâmetro 'alldata[truebooker_user]' em todas as versões até, e incluindo, 1.2.2 devido à insuficiente escapamento no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que atacantes não autenticados anexem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações sensíveis do banco de dados. O nonce guard check_ajax_referer() não constitui uma barreira de autenticação ou autorização porque o nonce é exposto a visitantes não autenticados nas páginas front-end de agendamento TrueBooker; a exploração também requer que os campos obrigatórios de agendamento (categoria, serviço, pessoa, data e slot de horário) estejam presentes no parâmetro POST alldata para que a execução alcance o ramo vulnerável da consulta SQL.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.