CVE-2026-2508

Nome do Software Vulnerável e Versões Afetadas Gravity Forms Booking versões anteriores a 2.7.2

Description Atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior podem realizar uma Injeção de SQL baseada em tempo. Isso ocorre devido à escape insuficiente do parâmetro staff id fornecido pelo usuário e à falta de preparação adequada da consulta SQL. Essa falha permite que atacantes anexem consultas SQL adicionais a consultas já existentes para extrair informações sensíveis do banco de dados.

Recommendations Atualize para a versão 2.7.2 ou posterior. Como medida de mitigação temporária, restrinja o acesso à funcionalidade que utiliza o parâmetro staff id para usuários com permissões de Assinante.