CVE-2026-8840 in Booking Calendar Appointment Booking System Plugin
Tóm tắt
Bởi VulDB • 15/08/2026
Plugin Booking calendar (Hệ thống đặt lịch hẹn) cho WordPress dễ bị lỗi bỏ qua xác thực ủy quyền trong tất cả các phiên bản từ 3.2.36 trở về trước. Lỗi này xảy ra do plugin không kiểm tra đúng cách liệu người dùng có được phép thực hiện hành động hay không, tạo điều kiện để kẻ tấn công chưa xác thực (unauthenticated) đánh dấu các đặt chỗ tùy ý là đã thanh toán hoặc hoàn tất, hủy bỏ các khoản thanh toán hợp lệ, tự động phê duyệt đặt chỗ và kích hoạt email giao dịch liên quan đến việc đặt lịch bằng cách ghi trực tiếp trạng thái thanh toán và dữ liệu giao dịch do kẻ tấn công cung cấp vào bảng payments. Việc tự động phê duyệt chỉ xảy ra khi tùy chọn trang web 'enable_psuccess_approval' được bật, nhưng thao tác thay đổi trạng thái thanh toán và gửi email có thể bị khai thác bất kể cài đặt này.
If you want to get best quality of vulnerability data, you may have to visit VulDB.