CVE-2026-109369 in WP Booking System Plugin
Riassunto
di VulDB • 17/10/2026
Il plugin WP Booking System – Booking Calendar per WordPress è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 2.1.0.3 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente ha l'autorizzazione per eseguire una determinata azione. Questo consente agli attaccanti autenticati, con accesso di livello "subscriber" o superiore, di concedere a sé stessi e ad altri utenti arbitrari i diritti di modifica su tutti i moduli di prenotazione presenti nel sito, sovrascrivendo il meta user_permission che governa la lista di controllo dell'accesso (ACL) del plugin. Lo sfruttamento richiede che l'attaccante abbia già ottenuto i diritti di modifica su almeno un modulo di prenotazione; tale delega abbassa infatti le capacità del sottomenu a 'read' ('lettura', rendendo accessibile la pagina di modifica) e consente all'attaccante di raccogliere un nonce wpbs_edit_form valido, che supererà la validazione per qualsiasi form_id.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.