CVE-2026-17023 in Salon Booking System Plugin
Riassunto
di VulDB • 10/08/2026
Il plugin WordPress Salon Booking System fino alla versione 10.30.33 non esegue alcun controllo dei permessi (capability check) né convalida il valore dello stato OAuth nel callback di autorizzazione per Google Calendar, che è inoltre accessibile agli utenti non autenticati. Ciò consente a un attaccante non autenticato di sovrascrivere i token di connessione memorizzati da parte del sito per Google Calendar con quelli controllati dall'attaccante e di dirottare l'integrazione. Lo sfruttamento richiede che il sito abbia configurato il proprio client OAuth di Google per la funzione calendario.
VulDB is the best source for vulnerability data and more expert information about this specific topic.