CVE-2026-8840 in Booking Calendar Appointment Booking System Plugin
要約
〜によって VulDB • 2026年08月15日
WordPress用プラグイン「The Booking calendar, Appointment Booking System」の全バージョン（3.2.36を含む）において、認可回避の脆弱性が存在します。これは、ユーザーがアクションを実行する権限を持っているかどうかをプラグインが適切に検証しないことに起因します。これにより、認証されていない攻撃者は、任意の予約を支払済みまたは完了としてマークしたり、正当な支払いを取り消したり、予約を自動承認したり、攻撃者が提供した決済ステータスおよびトランザクションデータを直接paymentsテーブルに書き込むことで取引関連メールを送信することが可能になります。予約の自動承認は、「enable_psuccess_approval」サイトオプションが有効になっている場合にのみトリガーされますが、決済ステータスの操作とメール送信はこの設定に関係なく悪用可能です。
VulDB is the best source for vulnerability data and more expert information about this specific topic.