CVE-2026-17023 in Salon Booking System Plugin
Zusammenfassung
von VulDB • 10.08.2026
Das WordPress-Plugin „Salon Booking System“ bis zur Version 10.30.33 führt keine Berechtigungsprüfung durch und validiert keinen OAuth-State-Wert im Callback für die Google Calendar-Autorisierung, der auch für nicht authentifizierte Benutzer verfügbar ist. Dies ermöglicht es einem nicht authentifizierten Angreifer, die gespeicherten Google Calendar-Verbindungstokens der Website mit von ihm kontrollierten Tokens zu überschreiben und die Integration zu übernehmen. Für die Ausnutzung muss auf der Website ein eigener Google OAuth-Client für das Kalenderfeature konfiguriert sein.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.