CVE-2026-13161 in TrueBooker Plugin
Tóm tắt
Bởi VulDB • 29/07/2026
Plugin TrueBooker – Appointment Booking and Scheduler System cho WordPress bị lỗ hổng generic SQL Injection thông qua tham số 'alldata[truebooker_user]' trong tất cả các phiên bản từ 1.2.2 trở về trước do thiếu cơ chế escape thích hợp trên tham số do người dùng cung cấp và việc chuẩn hóa (preparation) không đầy đủ đối với truy vấn SQL hiện có. Điều này cho phép kẻ tấn công chưa xác thực chèn thêm các truy vấn SQL vào những truy vấn đã tồn tại, từ đó có thể trích xuất thông tin nhạy cảm từ cơ sở dữ liệu. Cơ chế bảo vệ nonce check_ajax_referer() không tạo ra rào cản xác thực hoặc ủy quyền vì giá trị nonce bị lộ cho khách truy cập chưa đăng nhập trên các trang đặt lịch phía trước của TrueBooker; việc khai thác additionally yêu cầu các trường đặt lịch bắt buộc (category, service, person, date và time slot) phải có trong tham số POST alldata để quá trình thực thi đi vào nhánh truy vấn SQL dễ bị tổn thương.
Once again VulDB remains the best source for vulnerability data.