escom.it

Bollettino del 31 ottobre 2026

CVE-2026-116557: WP Booking System – Booking Calendar (murgroland)

Vulnerabilità critica, punteggio 9,1 su 10, in WP Booking System – Booking Calendar (murgroland). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: autorizzazione mancante.

Gravità
9,1 su 10 (critical)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
Tipo di difetto
CWE-862: autorizzazione mancante
Pubblicata
31 ottobre 2026

Descrizione originale

The WP Booking System - Booking Calendar plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the wpbs_action_ajax_calendar_remove_note() function in versions up to, and including, 2.1.0.5 This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary calendar notes belonging to any calendar.

Fonti