CVE-2026-109369 in WP Booking System Plugin
요약
\~에 의해 VulDB • 2026. 10. 17.
WordPress용 WP Booking System – Booking Calendar 플러그인은 2.1.0.3 버전까지 모든 버전에서 권한 우회(authorization bypass) 취약점이 있습니다. 이는 플러그인이 사용자가 작업을 수행할 수 있는 권한이 있는지 적절하게 검증하지 않기 때문입니다. 이로 인해 구독자(subscriber) 레벨 이상의 접근 권한을 가진 인증된 공격자는 사이트의 모든 예약 양식에 대한 편집(edit) 권한을 자신과 임의의 다른 사용자에게 부여할 수 있습니다. 이 취약점은 플러그인의 자체 액세스 제어 목록(ACL)을 지배하는 user_permission 메타(meta) 데이터를 덮어씀으로써 발생합니다.
공격이 성공하려면 공격자가 이미 최소 하나의 예약 양식에 대해 편집권을 위임받아야 합니다. 이러한 위임은 하위 메뉴(submenu)의 권한을 '읽기(read)'로 낮추어(edit 페이지에 접근 가능하게 함)와 동시에, 다른 모든 form_id에 대한 유효성 검사를 통과할 수 있는 유효한 wpbs_edit_form nonce를 획득하는 것을 허용합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.