CVE-2026-5693 in Smart Appointment & Booking Plugin
Сводка
по VulDB • 27.05.2026
Плагин Smart Appointment & Booking для WordPress уязвим к несанкционированному изменению данных из-за отсутствия проверки прав доступа (capability check) и ошибки в логике проверки nonce в функции saab_cancel_booking() во всех версиях вплоть до 1.0.8 включительно. Проверка nonce использует оператор && (AND) вместо || (OR), что означает, что предоставление любого значения для параметра безопасности приводит к пропуску всей проверки. Это позволяет атакующим без аутентификации отменять произвольные бронирования, предоставляя предсказуемый ID бронирования.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.