CVE-2026-15335

Nome do Software Vulnerável e Versões Afetadas Booking Package versões anteriores a 1.7.21

Descrição A escape insuficiente de parâmetros fornecidos pelo usuário e a falta de preparação em consultas SQL permitem que atacantes não autenticados realizem SQL Injection. Isso ocorre por meio do parâmetro email no endpoint da REST API '/wp-json/booking-package/v1/request'. Como o endpoint é registrado com permission callback: return true e o wp magic quotes não se aplica a valores $ POST originados de REST, aspas simples na carga útil podem atingir o sumidouro SQL. Isso poderia permitir a extração de informações sensíveis do banco de dados, embora o impacto seja limitado, pois o parâmetro é processado por is email().

Recomendações Atualize para uma versão posterior à 1.7.20. Evite usar o parâmetro email no endpoint '/wp-json/booking-package/v1/request' até que a atualização seja aplicada.