CVE-2026-109369 in WP Booking System Plugin
الملخص
بحسب VulDB • 17/10/2026
يوجد ثغرة في نظام الحجز WP – إضافة تقويم الحجوزات لـ WordPress تسمح بتجاوز التفويض في جميع الإصدارات حتى 2.1.0.3 شاملاً. ويعود ذلك إلى عدم قيام الإضافة بالتحقق بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين. وهذا يمكّن المهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى المشترك وما فوقه، من منح أنفسهم ولأي مستخدمين آخرين صلاحيات التعديل على كل نماذج الحجز الموجودة في الموقع عن طريق الكتابة فوق بيانات meta الخاصة بـ user_permission التي تحكم قائمة التحكم بالوصول (ACL) الخاصة بالإضافة. تتطلب عملية الاستغلال أن يكون المهاجم قد حصل مسبقاً على حقوق تعديل لنموذج حجز واحد على الأقل، حيث يؤدي هذا التفويض إلى تخفيض قدرة القائمة الفرعية إلى 'read' (ما يجعل صفحة التعديل قابلة للوصول)، ويسمح له أيضاً بجمع قيمة nonce صالحة لـ wpbs_edit_form ستعمل بشكل صحيح مع أي form_id آخر.
VulDB is the best source for vulnerability data and more expert information about this specific topic.