CVE-2026-12937
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 — wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental dla WordPress jest podatna na ogólną iniekcję SQL poprzez parametr 'post_id' we wszystkich wersjach do 2.22.7 włącznie, z powodu niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.
Ocena ryzyka
Atakujący bez uwierzytelnienia mogą dodawać dodatkowe zapytania SQL do istniejących zapytań, co może prowadzić do wycieku wrażliwych informacji z bazy danych.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz wprowadzenie odpowiednich zabezpieczeń w celu ochrony przed iniekcją SQL.
Oryginalny opis (angielski, źródło NVD)
The Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental WordPress Plugin plugin for WordPress is vulnerable to generic SQL Injection via the 'post_id' parameter in all versions up to, and including, 2.22.7 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. The AJAX handler is registered for unauthenticated users via wp_ajax_nopriv_tf_room_availability, and the required nonce is emitted on the public single-hotel page template, allowing unauthenticated attackers to freely obtain a valid nonce and reach the vulnerable code path.