Résumé
généré automatiquement à partir des données NVDLe plugin WordPress WP Booking System - Booking Calendar présente une vulnérabilité de modification non autorisée de données (CWE-862) : la fonction wpbs_action_ajax_calendar_remove_note() ne vérifie pas les droits de l'utilisateur. Selon la description NVD, un attaquant authentifié disposant d'un accès de niveau Subscriber ou supérieur peut supprimer des notes de n'importe quel calendrier, dans les versions jusqu'à 2.1.0.5 incluse. Le score CVSS v3.1 est de 9.1 (CRITICAL).
Description NVD (anglais)
The WP Booking System - Booking Calendar plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the wpbs_action_ajax_calendar_remove_note() function in versions up to, and including, 2.1.0.5 This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary calendar notes belonging to any calendar.
EPSS · FIRST.org
0,35 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 28 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 31 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 31 oct. 2026
- Mis à jour
- 31 oct. 2026
- Statut
- Received
- Source
- security@wordfence.com
Faiblesses (CWE)
Références (6)
CVEs similaires
Autres vulnérabilités de type CWE-862
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.