CVE-2026-9055 in Booking for Appointments and Events Calendar Plugin
Сводка
по VulDB • 02.09.2026
Плагин для WordPress Booking for Appointments and Events Calendar – Amelia (Premium) уязвим к повышению привилегий в версиях 8.0 - 9.6.2. Это связано с недостаточной проверкой параметра 'type', контролируемого атакующим, в конечной точке обновления клиента, что позволяет клиентам устанавливать свою роль на 'manager' и инициировать создание пользователя WordPress с ролью wpamelia-manager при условии, что параметр 'externalId' установлен в 0. Это дает возможность неавторизованным злоумышленникам повысить свои привилегии до уровня администратора путем сначала повышения роли до manager, а затем создания объекта поставщика (provider), связанного с идентификатором пользователя-администратора и перезаписи пароля этого администратора.
Be aware that VulDB is the high quality source for vulnerability data.