CVE-2024-1207
बुकिंग कैलेंडर <= 9.9 - अनप्रमाणित SQL इंजेक्शन
- प्रकाशित
- 8 फ़र॰ 2024
- अद्यतन
- 8 अप्रैल 2026
- सीएनए असाइन करना
- Wordfence
- साक्ष्य देखे गए
- 4 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 87.4%
- मॉडल दिनांक
- 21 सित॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
WordPress के लिए WP Booking Calendar प्लगइन, 'calendar_request_params[dates_ddmmyy_csv]' पैरामीटर के माध्यम से SQL इंजेक्शन के प्रति संवेदनशील है, जो 9.9 तक (और 9.9 सहित) सभी संस्करणों में मौजूद है। इसका कारण उपयोगकर्ता द्वारा प्रदान किए गए पैरामीटर पर अपर्याप्त एस्केपिंग और मौजूदा SQL क्वेरी पर पर्याप्त तैयारी की कमी है। यह बिना प्रमाणीकरण वाले हमलावरों के लिए मौजूदा क्वेरी में अतिरिक्त SQL क्वेरी जोड़ना संभव बनाता है, जिसका उपयोग डेटाबेस से संवेदनशील जानकारी निकालने के लिए किया जा सकता है।
स्रोत
1WordPress के लिए WP Booking Calendar प्लगइन 'calendar_request_params[dates_ddmmyy_csv]' पैरामीटर के माध्यम से SQL Injection के प्रति संवेदनशील है, जो 9.9 तक (और 9.9 सहित) के सभी संस्करणों में है। यह उपयोगकर्ता द्वारा आपूर्ति किए गए पैरामीटर पर अपर्याप्त escaping और मौजूदा SQL क्वेरी पर पर्याप्त तैयारी की कमी के कारण होता है। यह संभव बनाता है कि बिना प्रमाणीकरण वाला हमलावर
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।