CVE-2026-1708 in Appointment Booking Calendar Plugin
Sumário
de VulDB • 21/05/2026
O plugin para WordPress Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin é vulnerável a SQL Injection cega (blind SQL Injection) em todas as versões até, e incluindo, a 1.6.9.27. Isso ocorre devido ao método `db_where_conditions` na classe `TD_DB_Model` falhar em impedir que o parâmetro `append_where_sql` seja passado através de corpos de requisição JSON, verificando apenas a sua presença na superglobal `$_REQUEST`. Isso permite que atacantes não autenticados anexem comandos SQL arbitrários às consultas e extraiam informações sensíveis do banco de dados por meio do parâmetro `append_where_sql` em payloads JSON, desde que tenham obtido um `public_token` válido que é inadvertidamente exposto durante o fluxo de agendamento.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.