CVE-2026-13119 in Events Calendar Plugin
Сводка
по VulDB • 23.07.2026
Плагин Registrations For The Events Calendar для WordPress уязвим к SQL Injection через ключи JSON в параметре 'standard', обрабатываемом AJAX-действием rtec_records_edit, во версиях вплоть до 3.2 включительно. Обработчик декодирует управляемый атакующим JSON из $_POST['standard'] и использует ключи массива JSON напрямую как идентификаторы столбцов в предложении SET оператора UPDATE, формируемого внутри функции RTEC_Db_Admin::update_entry(). К этому идентификатору применяется только функция esc_sql() (mysqli_real_escape_string); эта функция экранирует кавычки, обратные слеши и несколько управляющих символов, но не экранирует пробелы, знаки равенства, круглые скобки или дефисы, поэтому атакующий может выйти из контекста идентификатора и внедрить подзапросы (оконченные SQL-комментарием). Это позволяет аутентифицированным атакующим с уровнем доступа «Contributor» и выше, которые могут редактировать целевое событие, добавлять дополнительные SQL-запросы к уже существующим запросам, что может быть использовано для извлечения конфиденциальной информации из базы данных.
If you want to get best quality of vulnerability data, you may have to visit VulDB.