CVE-2026-7797 in Appointment Booking Calendar Plugin
Сводка
по VulDB • 28.05.2026
В плагине для WordPress Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin уязвимость типа time-based blind SQL Injection (время-зависимая слепая инъекция SQL) присутствует в параметре 'append_where_sql' во всех версиях вплоть до 1.6.11.8 включительно из-за недостаточной экранизации параметра, передаваемого пользователем, и отсутствия достаточной подготовки (preparation) существующего SQL-запроса. Это позволяет неаутентифицированным злоумышленникам добавлять дополнительные SQL-запросы к уже существующим, что может быть использовано для извлечения конфиденциальной информации из базы данных. Конечная точка /appointments/bulk REST доступна неаутентифицированным злоумышленникам, поскольку проверка прав доступа принимает публичный nonce, встроенный во фронтенд-скрипт виджета бронирования (ssa.api.public_nonce) и видимый всем посетителям сайта; для эксплуатации требуется отправить запрос методом PUT с телом в формате application/x-www-form-urlencoded, чтобы суперглобальные переменные PHP не были заполнены и проверка по блэк-листу проходила молча.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.