CVE-2026-18496

Wtyczka Booking Calendar dla WordPressa przed wersją 11.8.3 nie ogranicza odpowiednio, które opcje może wczytać użytkownik o niższych uprawnieniach przez jeden z jej handlerów ustawień. Użytkownicy z rolą Edytora i wyższą mogą ujawnić wartości dowolnych opcji WordPressa, w tym podstawową konfigurację witryny.

Wtyczka WordPress Booking Calendar przed wersją 11.8 nie generuje hashy dostępu do rezerwacji z wystarczającą entropią, opierając je na wartości niskiej entropii z ziarnem czasu. Nieuwierzytelnieni atakujący, którzy potrafią określić czas utworzenia rezerwacji, mogą przewidzieć hash, a następnie odczytać dane osobowe rezerwacji lub zmodyfikować rezerwację.

Wtyczka Booking Calendar firmy WPdevelop zawiera podatność polegającą na współbieżnym wykonywaniu z użyciem współdzielonego zasobu bez odpowiedniej synchronizacji (wyścig), umożliwiającą wykorzystanie warunków wyścigu. Problem dotyczy wersji Booking Calendar od n/a do 11.8.4.

Wtyczka Booking Calendar dla WordPressa jest podatna na Reflected Cross-Site Scripting poprzez parametr 'wpbc_auto_fill' we wszystkich wersjach do 11.8.3 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, jeśli uda się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Booking Calendar dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 11.8.2 włącznie poprzez akcję AJAX wpbc_ajax_option_save. Uwierzytelniony atakujący z poziomem Editor może zapisywać opcje WordPressa, takie jak default_role=administrator, i utworzyć konto administratora.

Wtyczka Booking Calendar dla WordPressa jest podatna na odbity XSS przez parametr 'options' we wszystkich wersjach do 11.8.2 włącznie z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link. Sprawdzenie nonce jest domyślnie pomijane, ponieważ opcja 'booking_is_nonce_at_front_end' jest domyślnie wyłączona.

Podatność nieuwierzytelnionego złamania kontroli dostępu (Broken Access Control) w wtyczce Booking Calendar w wersjach do 11.7 włącznie. Niezalogowani użytkownicy mogą uzyskać dostęp do funkcji rezerwacji i zarządzania, które powinny być ograniczone.

Podatność na nieuwierzytelniony Cross-Site Scripting (XSS) we wtyczce Booking Calendar do wersji 11.4.2. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony.

Wtyczka Booking Calendar (autorstwa wpdevelop) jest podatna na atak typu Stored Cross-site Scripting (XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność dotyczy wersji od nieznanej do 10.14.7 włącznie.