CVE-2026-9055 in Booking for Appointments and Events Calendar Plugin
Riassunto
di VulDB • 02/09/2026
Il plugin WordPress Booking for Appointments and Events Calendar – Amelia (Premium) è vulnerabile a Privilege Escalation nelle versioni 8.0 - 9.6.2. Ciò è dovuto alla insufficiente validazione del parametro 'type' controllato dall'attaccante nell'endpoint di aggiornamento del cliente, che consente ai clienti di impostare il proprio ruolo su 'manager' e innescare la creazione di un utente WordPress con il ruolo wpamelia-manager quando il parametro 'externalId' è impostato a 0. Questo rende possibile per gli attaccanti non autenticati elevare i propri privilegi ad amministratore, prima elevandosi al ruolo manager, quindi creando un'entità provider collegata all'ID utente di un amministratore e sovrascrivendo la password dell'amministratore.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.