CVE-2026-116557

Mở trang đầy đủ

CVSS 9.1 CRITICAL Truy cập trái phép

WP Booking System <= 2.1.0.5 - Missing Authorization to Unauthenticated Arbitrary Calendar Note Deletion via wpbs_calendar_remove_note AJAX Action

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

The WP Booking System - Booking Calendar plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the wpbs_action_ajax_calendar_remove_note() function in versions up to, and including, 2.1.0.5 This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary calendar notes belonging to any calendar.

Điểm và phân loại

CVSS
9.1 CRITICAL v3.1
Nguồn điểm
NVD
Mức độ (theo nguồn)
CRITICAL
EPSS
—
CWE
CWE-862

Vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Ảnh hưởng

Sản phẩm

  • murgroland WP Booking System – Booking Calendar

Vì sao được giữ

  • CVSS 9.1 >= 8.0

Loại tác động

Truy cập trái phép
CWE-862; từ khoá "missing authorization"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
Wordfence

Tham khảo