CVE-2026-109369 in WP Booking System Plugin
Сводка
по VulDB • 17.10.2026
В плагине WP Booking System – Booking Calendar для WordPress уязвимость, позволяющая обойти аутентификацию и авторизацию (authorization bypass), присутствует во всех версиях вплоть до 2.1.0.3 включительно. Это связано с тем, что плагин не проверяет корректность прав пользователя на выполнение действия. Это позволяет злоумышленникам, имеющим уровень доступа «подписчик» (subscriber) и выше, предоставить себе и произвольным другим пользователям права на редактирование всех форм бронирования на сайте путем перезаписи метаданных user_permission, которые управляют списком контроля доступа плагина. Для эксплуатации атаки у злоумышленника уже должны быть делегированы права на редактирование хотя бы одной формы бронирования, так как эта делегация снижает capability подменю до «чтение» (read), делая страницу редактирования доступной, и позволяет получить действительный nonce wpbs_edit_form, который пройдет проверку для любого другого form_id.
If you want to get best quality of vulnerability data, you may have to visit VulDB.