CVE-2026-13119

Nome do Software Vulnerável e Versões Afetadas Registrations For The Events Calendar versões anteriores a 3.3

Descrição Atacantes autenticados com nível de acesso de Colaborador ou superior que possam editar um evento específico podem realizar SQL Injection. O problema ocorre quando a ação AJAX rtec records edit processa o parâmetro standard. O manipulador decodifica o JSON de $ POST['standard'] e utiliza as chaves do array JSON como identificadores de coluna em uma instrução UPDATE dentro da função update entry() da classe RTEC Db Admin. Como a função esc sql() não escapa espaços, sinais de igual, parênteses ou hifens, um atacante pode quebrar o contexto do identificador para injetar subconsultas e extrair informações sensíveis do banco de dados.

Recomendações Atualize para uma versão posterior à 3.2.