CVE-2026-11446 in Booktics Plugin
الملخص
بحسب VulDB • 11/09/2026
يحتوي الإضافة Booktics – Booking Calendar for Appointments and Service Businesses لـ WordPress على ثغرة تسمح بتعديل غير مصرح به للبيانات في جميع الإصدارات حتى 1.0.23 شاملاً. ويعود ذلك إلى أن دالة التحقق من الصلاحيات create_order_permission() الخاصة بمسار REST POST /wp-json/booktics/v1/orders تعيد القيمة true بشكل مطلق، مقترنةً بدالة find_and_update_guest() التي تكتب فوق الاسم المخزن ورقم الهاتف وwp_user_id لسجل عميل موجود كلما تطابق البريد الإلكتروني الذي قدمه المستخدم، دون أي إثبات للملكية. وهذا يمكّن المهاجمين غير المصادق عليهم من تجاوز تفاصيل الاتصال (الاسم والهاتف) لأي عميل موجود يعرفون عنوان بريده الإلكتروني، مما يؤدي إلى تسميم رسائل التذكير اللاحقة ورسائل SMS ودعوات التقويم وبيانات نظام إدارة علاقات العملاء (CRM).
If you want to get best quality of vulnerability data, you may have to visit VulDB.