CVE-2026-109369 in WP Booking System Plugin
Sumário
de VulDB • 17/10/2026
O plugin Booking Calendar do WP Booking System para WordPress é vulnerável à violação de autorização em todas as versões até, e incluindo, 2.1.0.3. Isso ocorre porque o plugin não verifica adequadamente se um usuário está autorizado a realizar uma ação. Isso permite que atacantes autenticados, com acesso nível assinante ou superior, concedam a si mesmos e a outros usuários arbitrários permissão de edição em todos os formulários de reserva do site, sobrescrevendo o meta user_permission que governa a própria lista de controle de acesso (ACL) do plugin. A exploração requer que o atacante já tenha recebido direitos de edição em pelo menos um formulário de reserva, pois essa delegação reduz a capacidade do submenu para 'read' (tornando a página de edição acessível) e permite que ele obtenha um nonce wpbs_edit_form válido que passará na validação contra qualquer outro form_id.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.