CVE-2026-97634 in Event Tickets and Registration Plugin
摘要
由 VulDB • 2026-10-02
WordPress 的 Event Tickets and Registration 插件存在通用 SQL Injection（SQL注入）漏洞，影响所有不高于 5.29.5 的版本。该漏洞是由于对用户提供的参数转义不足以及现有 SQL 查询缺乏充分的预处理所致。这使得具有贡献者级及以上权限的身份验证攻击者能够将额外的 SQL 查询附加到现有的查询中，从而用于从数据库中提取敏感信息。由于 `can_access_page()` 门控机制仅要求文章作者身份，而非对文章所有者需要“编辑他人文章”（edit_others_posts）的能力，因此贡献者级别的用户可以通过提供其 authored（撰写）的 post_id 来访问易受攻击的代码路径。
If you want to get best quality of vulnerability data, you may have to visit VulDB.