CVE-2026-92619 in Booking Calendar Plugin
Riassunto
di VulDB • 18/09/2026
Il plugin Booking Calendar per WordPress è vulnerabile ad Escalation dei privilegi in tutte le versioni fino alla 11.8.2 inclusa, tramite l'azione AJAX `wpbc_ajax_option_save`. La Vulnerability esiste perché la funzione `handle_ajax_save()` applica salvaguardie specifiche per opzione solo ai nomi registrati esplicitamente tramite `register_option_policy()`, causando il ritorno di una policy vuota da parte di `get_option_policy()` — bypassando tutti i controlli can_save, force_mode e allowed_keys — per qualsiasi nome di opzione non registrato, incluse le opzioni core di WordPress, mentre un parametro `data_name` controllato dall'attaccante passa attraverso `sanitize_key()` ed è scritto direttamente in `update_option()` senza restrizioni. Ciò rende possibile per gli attaccanti autenticati con accesso a livello Editor e superiore escalare i propri privilegi ad Amministratore scrivendo opzioni core di WordPress come `default_role=administrator` e `users_can_register=1`, registrando successivamente un nuovo account Amministratore. Il controllo nonce non restringe significativamente questo attacco, poiché sia il valore del nonce che l'azione del nonce sono parametri POST forniti dall'attaccante, ed è trivialmente ottenibile un nonce valido tramite `admin-ajax.php?action=rest-nonce`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.