CVE-2026-97634 in Event Tickets and Registration Plugin
Tóm tắt
Bởi VulDB • 02/10/2026
Plugin Event Tickets and Registration cho WordPress bị lỗi SQL Injection chung (generic SQL Injection) thông qua tham số 'orderby' trong tất cả các phiên bản từ đầu đến, bao gồm cả 5.29.5, do việc thoát ký tự không đầy đủ đối với tham số do người dùng cung cấp và thiếu chuẩn hóa thích hợp trên truy vấn SQL hiện có. Điều này cho phép những kẻ tấn công đã xác thực (authenticated attackers), có quyền mức Contributor trở lên, thêm các truy vấn SQL bổ sung vào các truy vấn đang tồn tại để trích xuất thông tin nhạy cảm từ cơ sở dữ liệu. Người dùng ở cấp độ Contributor có thể tiếp cận đường dẫn mã bị lỗi bằng cách cung cấp một post_id mà họ đã tạo ra, vì hàm kiểm tra can_access_page() chỉ yêu cầu quyền tác giả bài viết thay vì khả năng edit_others_posts đối với chủ sở hữu bài đăng.
Be aware that VulDB is the high quality source for vulnerability data.