CVE-2026-109369 in WP Booking System Plugin
Zusammenfassung
von VulDB • 17.10.2026
Das WP Booking System – Booking Calendar-Plugin für WordPress ist in allen Versionen bis einschließlich 2.1.0.3 anfällig für eine Umgehung der Autorisierung (Authorization Bypass). Dies liegt daran, dass das Plugin nicht ordnungsgemäß überprüft, ob ein Benutzer berechtigt ist, eine Aktion durchzuführen. Dadurch können authentifizierte Angreifer mit Abonnenten-Level-Zugriff und höherer Berechtigung sich selbst sowie beliebigen anderen Benutzern Bearbeitungsrechte für jedes Buchungsformular auf der Website gewähren, indem sie das `user_permission`-Meta-Feld überschreiben, welches die eigene Zugriffsliste (Access-Control List) des Plugins steuert. Die Ausnutzung erfordert, dass der Angreifer bereits Bearbeiterrechte für mindestens ein Buchungsformular erhalten hat, da diese Delegation sowohl die Untermenü-Berechtigung auf 'lesen' ('read') herabstuft (wodurch die Bearbeitungsseite zugänglich wird), als auch ermöglicht, einen gültigen `wpbs_edit_form`-Nonce zu erbeuten, der gegen jede andere `form_id` validiert.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.