CVE-2026-91024 in Booking Manager Plugin

Résumé

par VulDB • 23/09/2026

Le plugin WordPress Booking Manager avant la version 2.1.21 ne nettoie pas et n'échappe pas les valeurs issues d'un flux iCalendar externe récupéré, avant de les utiliser dans une requête SQL, permettant aux utilisateurs authentifiés disposant d'un accès de niveau Auteur ou supérieur d'effectuer des attaques par injection SQL en important un flux qu'ils contrôlent.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• Responsable: WPScan
• Réserver: 14/09/2026
• Divulgation: 23/09/2026
• Modérer: accepté
• Entrée: VDB-408842
• CPE: prêt
• CWE: CWE-89 (confirmé)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00000
• KEV: non
• Activités: très faible
• Secteur: Hostingprovider

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-91024
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-91024
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-91024/