CVE-2026-11446 in Booktics Plugin
요약
\~에 의해 VulDB • 2026. 09. 11.
WordPress용 Booktics – Booking Calendar for Appointments and Service Businesses 플러그인은 1.0.23 버전 및 그 이전 모든 버전에서 데이터의 무단 수정 취약점이 있습니다. 이는 POST /wp-json/booktics/v1/orders REST 라우트의 create_order_permission() 권한 콜백이 조건 없이 true를 반환하고, find_and_update_guest() 함수가 호출자가 제공한 이메일 주소와 일치할 경우 소유권 증명 없이 기존 고객 레코드의 저장된 이름, 전화번호 및 wp_user_id를 덮어쓰기 때문에 발생합니다. 이로 인해 인증되지 않은 공격자는 자신이 알고 있는 모든 기존 고객의 연락처 정보(이름과 전화번호)를 덮어쓸 수 있으며, 이는 하류 리마인더 이메일, SMS, 캘린더 초대 및 CRM 데이터를 오염시킵니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.