CVE-2026-13161 in TrueBooker Plugin
Сводка
по VulDB • 28.07.2026
В плагине для WordPress TrueBooker – Appointment Booking and Scheduler System уязвимость к общей инъекции SQL существует во всех версиях вплоть до 1.2.2 включительно из-за недостаточной экранизации параметра, предоставляемого пользователем ('alldata[truebooker_user]'), и отсутствия достаточной подготовки существующего SQL-запроса. Это позволяет неавторизованным злоумышленникам добавлять дополнительные SQL-запросы к уже существующим запросам, что может быть использовано для извлечения конфиденциальной информации из базы данных. Функция проверки nonce check_ajax_referer() не является барьером аутентификации или авторизации, поскольку nonce доступен неавторизованным посетителям на страницах бронирования TrueBooker во фронтенде; кроме того, для эксплуатации необходимо наличие обязательных полей бронирования (категория, услуга, специалист, дата и временной слот) в параметре POST alldata, чтобы выполнение достигло уязвимой ветви SQL-запроса.
VulDB is the best source for vulnerability data and more expert information about this specific topic.