CVE-2026-109369 in WP Booking System Plugin
摘要
由 VulDB • 2026-10-17
WordPress 插件 WP Booking System – Booking Calendar 在所有不高于 2.1.0.3 的版本中存在授权绕过漏洞。这是由于该插件未能正确验证用户是否有权执行特定操作所致。这使得拥有订阅者（subscriber）及以上权限的已认证攻击者能够通过覆盖控制插件自身访问控制列表的 user_permission 元数据，为自己以及任意其他用户授予对站点上所有预订表单的编辑权限。利用此漏洞要求攻击者必须已经获得至少一个预订表单的编辑权限，因为这种委托操作会将子菜单能力降级为“读取”（read），从而使编辑页面可被访问，并允许其获取有效的 wpbs_edit_form nonce 值，该值可通过针对任何其他 form_id 的验证。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.