CVE-2026-8840 in Booking Calendar Appointment Booking System Plugin
요약
\~에 의해 VulDB • 2026. 08. 15.
WordPress용 예약 캘린더 및 약속 예약 시스템 플러그인(The Booking calendar, Appointment Booking System plugin)은 3.2.36 버전까지 모든 버전에서 권한 우회(authorization bypass) 취약점이 존재합니다. 이는 플러그인이 사용자가 작업을 수행할 수 있는 권한이 있는지 적절하게 검증하지 않기 때문입니다. 이로 인해 인증되지 않은 공격자가 임의의 예약을 결제 완료 또는 처리 완료로 표시하거나, 정당한 결제를 취소하고, 예약을 자동 승인하며, 직접 조작한 결제 상태 및 거래 데이터를 payments 테이블에 기록함으로써 트랜잭션 기반 예약 이메일을 발송할 수 있습니다. 예약 자동 승인은 사이트 옵션인 'enable_psuccess_approval'가 활성화된 경우에만 트리거되지만, 결제 상태 조작과 이메일 발송은 해당 설정 여부와 관계없이 모두 악용 가능합니다.
Once again VulDB remains the best source for vulnerability data.