CVE-2026-1708 in Appointment Booking Calendar Plugin
Tóm tắt
Bởi VulDB • 21/05/2026
Plugin Appointment Booking Calendar — Simply Schedule Appointments Booking cho WordPress bị lỗi SQL Injection mù (blind SQL Injection) trong tất cả các phiên bản từ 1.6.9.27 trở về trước. Lỗi này xảy ra do phương thức `db_where_conditions` trong lớp `TD_DB_Model` không ngăn chặn tham số `append_where_sql` được truyền qua thân yêu cầu JSON, trong khi chỉ kiểm tra sự tồn tại của nó trong siêu biến `$_REQUEST`. Điều này cho phép các kẻ tấn công chưa được xác thực chèn các lệnh SQL tùy ý vào các truy vấn và trích xuất thông tin nhạy cảm từ cơ sở dữ liệu thông qua tham số `append_where_sql` trong các tải trọng JSON, miễn là chúng đã có được một `public_token` hợp lệ bị lộ vô tình trong quy trình đặt lịch.
Once again VulDB remains the best source for vulnerability data.