CVE-2026-116557
KrytyczneCVSS 9.1Streszczenie
Wtyczka WP Booking System – Booking Calendar dla WordPressa w wersjach do 2.1.0.5 włącznie nie sprawdza uprawnień w funkcji wpbs_action_ajax_calendar_remove_note(). Uwierzytelniony użytkownik z rolą Subscriber lub wyższą może usuwać dowolne notatki kalendarza należące do dowolnego kalendarza.
Ocena ryzyka
Niskouprzywilejowani użytkownicy mogą modyfikować dane rezerwacji, usuwając notatki kalendarza, co może prowadzić do utraty ważnych informacji operacyjnych. Wymaga to jedynie konta subskrybenta.
Rekomendacja
Zaktualizuj wtyczkę WP Booking System do wersji nowszej niż 2.1.0.5 i przejrzyj konta użytkowników o niskich uprawnieniach.
Inne podatności w WP Booking System WordPress plugin
Zobacz wszystkie- CVE-2026-109369Średnie
Wtyczka WordPress 'WP Booking System – Booking Calendar' we wszystkich wersjach do 2.1.0.3 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowego weryfikowania, czy użytkownik jest upoważniony do wykonania akcji. Uwierzytelnieni atakujący z uprawnieniami subskrybenta lub wyższymi mogą przyznać sobie i innym użytkownikom dostęp do edycji wszystkich formularzy rezerwacji w witrynie, nadpisując meta user_permission, które zarządza listą kontroli dostępu wtyczki. Wykorzystanie wymaga, aby atakujący miał już delegowane prawa edycji do co najmniej jednego formularza rezerwacji, ponieważ ta delegacja zarówno obniża uprawnienia podmenu do 'read' (czyniąc stronę edycji dostępną), jak i pozwala im uzyskać ważny nonce wpbs_edit_form, który przejdzie walidację dla dowolnego innego form_id.
- CVE-2026-107126Wysokie
Wtyczka WordPress WP Booking System przed wersją 2.1.0.1 nie sanityzuje ani nie escapuje wartości żądania kontrolowanej przez klienta przed zapisaniem jej i późniejszym wyświetleniem w ekranie administracyjnym. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w sesji administratora przeglądającego zapisane dane.
Oryginalny opis (angielski, źródło NVD)
The WP Booking System - Booking Calendar plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the wpbs_action_ajax_calendar_remove_note() function in versions up to, and including, 2.1.0.5 This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary calendar notes belonging to any calendar.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS