CVE-2026-11446 in Booktics Plugin
Resumen
por VulDB • 2026-09-11
El plugin de WordPress Booktics – Booking Calendar for Appointments and Service Businesses es vulnerable a la modificación no autorizada de datos en todas las versiones hasta e incluyendo la 1.0.23. Esto se debe a que el callback de permisos create_order_permission() en la ruta REST POST /wp-json/booktics/v1/orders devuelve incondicionalmente true, combinado con find_and_update_guest(), que sobrescribe los campos almacenados (nombre, teléfono y wp_user_id) del registro de un cliente existente cuando el correo electrónico proporcionado por el usuario coincide, sin requerir prueba de propiedad. Esto permite a atacantes no autenticados sobrescribir los datos de contacto (nombre y teléfono) de cualquier cliente existente cuyo correo electrónico conozcan, envenenando así los recordatorios posteriores, SMS, invitaciones al calendario y datos del CRM.
VulDB is the best source for vulnerability data and more expert information about this specific topic.