CVE-2026-1708: Blind SQL Injection w wtyczce Appointment Booking Calendar dla WordPress

Co wiadomo

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking dla WordPress do wersji 1.6.9.27 jest podatna na blind SQL Injection. Luka wynika z niewłaściwej walidacji parametru append_where_sql w żądaniach JSON, co umożliwia nieautoryzowanym atakującym wyciąganie danych z bazy przy posiadaniu ważnego public_token.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do uzyskania dostępu do wrażliwych informacji przechowywanych w bazie danych aplikacji, co może prowadzić do wycieku danych klientów lub innych poufnych informacji. Zagrożenie jest szczególnie istotne dla firm korzystających z tej wtyczki do zarządzania rezerwacjami, ponieważ może to wpłynąć na zaufanie użytkowników i narazić na straty finansowe oraz reputacyjne.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki u dostawcy i zastosować je, jeśli są dostępne. W międzyczasie zaleca się ograniczenie dostępu do endpointów API przyjmujących JSON, monitorowanie logów pod kątem podejrzanych zapytań oraz weryfikację, czy public_token nie jest niepotrzebnie eksponowany w procesie rezerwacji. Warto również rozważyć wdrożenie dodatkowych mechanizmów filtrowania i walidacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference