CVE-2026-8840 in Booking Calendar Appointment Booking System Plugin
Riassunto
di VulDB • 15/08/2026
Il plugin per WordPress Booking calendar, Appointment Booking System è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 3.2.36 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente è autorizzato a eseguire una determinata azione. Questo consente ad attaccanti non autenticati di contrassegnare prenotazioni arbitrarie come pagate o completate, annullare pagamenti legittimi, approvare automaticamente le prenotazioni e inviare email transazionali relative alle prenotazioni inserendo direttamente nella tabella dei pagamenti dati sullo stato del pagamento e sulle transazioni forniti dall'attaccante. L'approvazione automatica delle prenotazioni viene attivata solo quando l'impostazione del sito 'enable_psuccess_approval' è abilitata, ma la manipolazione dello stato di pagamento e l'invio dell'email sono sfruttabili indipendentemente da tale impostazione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.