CVE-2026-15289

Nome do Software Vulnerável e Versões Afetadas Booking calendar, Appointment Booking System plugin for WordPress versões anteriores a 3.2.18

Descrição Existe um problema onde invasores não autenticados podem realizar SQL Injection baseada em tempo, uma técnica usada para inferir dados de um banco de dados observando o tempo que o servidor leva para responder a consultas específicas. Isso ocorre devido à escape insuficiente de entradas fornecidas pelo usuário e à falta de preparação adequada da consulta SQL. A falha permite que invasores anexem consultas SQL adicionais para extrair informações sensíveis do banco de dados. A exploração requer que a versão Pro do plugin esteja ativa e que a opção 'Delete previous dates' esteja habilitada. A vulnerabilidade é acionada através do parâmetro wpdevart id.

Recomendações Atualize o plugin para a versão 3.2.18 ou posterior. Como mitigação temporária, desative a opção 'Delete previous dates' nas configurações da versão Pro.