CVE-2026-109369
ŚrednieCVSS 6.8Streszczenie
Wtyczka WordPress 'WP Booking System – Booking Calendar' we wszystkich wersjach do 2.1.0.3 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowego weryfikowania, czy użytkownik jest upoważniony do wykonania akcji. Uwierzytelnieni atakujący z uprawnieniami subskrybenta lub wyższymi mogą przyznać sobie i innym użytkownikom dostęp do edycji wszystkich formularzy rezerwacji w witrynie, nadpisując meta user_permission, które zarządza listą kontroli dostępu wtyczki. Wykorzystanie wymaga, aby atakujący miał już delegowane prawa edycji do co najmniej jednego formularza rezerwacji, ponieważ ta delegacja zarówno obniża uprawnienia podmenu do 'read' (czyniąc stronę edycji dostępną), jak i pozwala im uzyskać ważny nonce wpbs_edit_form, który przejdzie walidację dla dowolnego innego form_id.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do edycji wszystkich formularzy rezerwacji, co może prowadzić do modyfikacji danych, nieautoryzowanych rezerwacji lub naruszenia prywatności. Może to podważyć zaufanie do systemu rezerwacji.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 2.1.0.3, która naprawia tę podatność. Jeśli aktualizacja nie jest możliwa, rozważ ograniczenie uprawnień subskrybentów lub wyłączenie wtyczki.
Inne podatności w WP Booking System WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The WP Booking System – Booking Calendar plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 2.1.0.3 This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to grant themselves and arbitrary other users edit access to every booking form on the site by overwriting the user_permission meta that governs the plugin's own access-control list. Exploitation requires the attacker to have already been delegated edit rights on at least one booking form, as this delegation both downgrades the submenu capability to 'read' (making the edit page accessible) and allows them to harvest a valid wpbs_edit_form nonce that will pass validation against any other form_id.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS