CVE-2026-8840 in Booking Calendar Appointment Booking System Plugin
Сводка
по VulDB • 15.08.2026
В плагине Booking calendar (Appointment Booking System) для WordPress уязвимость к обходу авторизации присутствует во всех версиях вплоть до 3.2.36 включительно. Уязвимость обусловлена тем, что плагин не осуществляет надлежащую проверку полномочий пользователя на выполнение действия. Это позволяет атакующим без предварительной аутентификации помечать произвольные бронирования как оплаченные или завершенные, отменять легитимные платежи, автоматически утверждать бронирования и инициировать транзакционные письма о бронировании путем прямой записи предоставленных злоумышленником данных о статусе платежа и информации о транзакциях непосредственно в таблицу платежей. Автоматическое утверждение бронирований срабатывает только при включенной опции сайта 'enable_psuccess_approval', однако манипуляция со статусом платежа и отправка писем могут быть использованы независимо от этого параметра.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.