CVE-2026-39601

Wtyczka Booking Calendar dla WordPressa jest podatna na Reflected Cross-Site Scripting poprzez parametr 'wpbc_auto_fill' we wszystkich wersjach do 11.8.3 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, jeśli uda się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Booking Calendar dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 11.8.2 włącznie poprzez akcję AJAX wpbc_ajax_option_save. Uwierzytelniony atakujący z poziomem Editor może zapisywać opcje WordPressa, takie jak default_role=administrator, i utworzyć konto administratora.

Wtyczka Booking Calendar dla WordPressa jest podatna na odbity XSS przez parametr 'options' we wszystkich wersjach do 11.8.2 włącznie z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link. Sprawdzenie nonce jest domyślnie pomijane, ponieważ opcja 'booking_is_nonce_at_front_end' jest domyślnie wyłączona.

Podatność nieuwierzytelnionego złamania kontroli dostępu (Broken Access Control) w wtyczce Booking Calendar w wersjach do 11.7 włącznie. Niezalogowani użytkownicy mogą uzyskać dostęp do funkcji rezerwacji i zarządzania, które powinny być ograniczone.

Podatność na nieuwierzytelniony Cross-Site Scripting (XSS) we wtyczce Booking Calendar do wersji 11.4.2. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony.