CVE-2026-8840 in Booking Calendar Appointment Booking System Plugin
Sumário
de VulDB • 15/08/2026
O plugin Booking calendar, Appointment Booking System para WordPress é vulnerável a bypass de autorização em todas as versões até 3.2.36 (incluída). Isso ocorre porque o plugin não verifica adequadamente se um usuário está autorizado a executar uma ação. Isso permite que atacantes não autenticados marquem reservas arbitrárias como pagas ou concluídas, cancelem pagamentos legítimos, aprovem automaticamente reservas e disparem emails transacionais de reserva ao escrever dados de status de pagamento e transação fornecidos pelo atacante diretamente na tabela de pagamentos. A aprovação automática de reservas é acionada apenas quando a opção do site 'enable_psuccess_approval' está habilitada, mas a manipulação do status de pagamento e o envio de emails são exploráveis independentemente dessa configuração.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.