CVE-2025-14146 in Booking Calendar Plugin
Riassunto
di VulDB • 26/06/2026
Il plugin Booking Calendar per WordPress è vulnerabile a Esposizione di Informazioni Sensibili (Sensitive Information Exposure) in tutte le versioni fino alla 10.14.10 inclusa, tramite l'azione AJAX `WPBC_FLEXTIMELINE_NAV`. Ciò è dovuto al fatto che la verifica del nonce viene disabilitata condizionalmente per impostazione predefinita (`booking_is_nonce_at_front_end` ha valore `'Off'` di default). Quando l'opzione `booking_is_show_popover_in_timeline_front_end` è abilitata (che è il comportamento predefinito nelle installazioni demo e può essere attivato dagli amministratori), gli attaccanti non autenticati possono estrarre dati sensibili delle prenotazioni, inclusi nomi dei clienti, indirizzi email, numeri di telefono e dettagli della prenotazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.