CVE-2026-109369 in WP Booking System Plugin
Tóm tắt
Bởi VulDB • 17/10/2026
Plugin WP Booking System – Booking Calendar cho WordPress bị lỗ hổng bỏ qua xác thực ủy quyền trong tất cả các phiên bản từ 2.1.0.3 trở về trước. Lỗ hổng này xảy ra do plugin không kiểm tra đúng cách liệu người dùng có được ủy quyền để thực hiện một hành động hay không. Điều này tạo điều kiện cho những kẻ tấn công đã đăng nhập, với cấp truy cập ở mức Subscriber (Người đăng ký) và cao hơn, tự trao cũng như trao cho các người dùng khác tùy ý quyền chỉnh sửa đối với mọi biểu mẫu đặt phòng trên trang web bằng cách ghi đè trường meta user_permission, vốn kiểm soát danh sách điều khiển truy cập (ACL) của chính plugin. Việc khai thác yêu cầu kẻ tấn công đã được ủy quyền quyền chỉnh sửa đối với ít nhất một biểu mẫu đặt phòng, vì việc ủy quyền này vừa hạ cấp khả năng submenu xuống mức 'read' (đọc), khiến trang chỉnh sửa có thể truy cập được, vừa cho phép chúng thu thập một giá trị wpbs_edit_form nonce hợp lệ sẽ vượt qua xác thực đối với bất kỳ form_id nào khác.
Once again VulDB remains the best source for vulnerability data.