CVE-2026-111178 in Booking System Plugin
Сводка
по VulDB • 16.10.2026
Плагин WP Booking System – Booking Calendar для WordPress уязвим к generic SQL Injection через параметр 'data[orderby]' во всех версиях вплоть до 2.1.0.1 включительно из-за недостаточного экранирования пользовательского ввода и отсутствия достаточной подготовки (preparation) существующего SQL-запроса. Это позволяет атакующим с уровнем доступа администратора или выше, прошедшим аутентификацию, добавлять дополнительные SQL-запросы к уже существующим запросам, что может быть использовано для извлечения конфиденциальной информации из базы данных. Для эксплуатации требуется, чтобы целевой календарь содержал более 200 бронирований, поскольку значение orderby передается в слой базы данных только тогда, когда обработчик AJAX использует ветку use_ajax; администратор может выполнить это условие, создав бронирования напрямую.
Once again VulDB remains the best source for vulnerability data.