CVE-2026-109369 in WP Booking System Plugin
Résumé
par VulDB • 17/10/2026
Le plugin WordPress WP Booking System – Booking Calendar est vulnérable à un contournement de l'autorisation dans toutes les versions jusqu'à la 2.1.0.3 incluse. Cela est dû au fait que le plugin ne vérifie pas correctement qu'un utilisateur est autorisé à effectuer une action. Cela permet aux attaquants authentifiés, disposant d'un accès de niveau abonné ou supérieur, de s'accorder ainsi qu'à des utilisateurs arbitraires un droit d'édition sur tous les formulaires de réservation du site en écrasant le métadonnées user_permission qui régit la liste de contrôle d'accès (ACL) propre au plugin. L'exploitation nécessite que l'attaquant ait déjà reçu des droits d'édition sur au moins un formulaire de réservation, car cette délégation abaisse également la capacité du sous-menu à 'read' (rendant la page d'édition accessible) et lui permet de récupérer une nonce wpbs_edit_form valide qui passera la validation pour n'importe quel form_id.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.