WP Booking System: Fehlende Autorisierung erlaubt Löschen von Kalendernotizen

Zusammenfassung

Das WordPress-Plugin WP Booking System - Booking Calendar bis einschliesslich Version 2.1.0.5 enthält in der Funktion wpbs_action_ajax_calendar_remove_note() keine Berechtigungsprüfung. Ein angemeldeter Benutzer mit mindestens Subscriber-Rechten kann beliebige Kalendernotizen aller Kalender löschen, was vor allem Buchungen stört und interne Notizen entfernt. Der veröffentlichte CVSS-Vektor sieht keine Berechtigungen vor, was der Subscriber-Voraussetzung widerspricht; die Bewertung kann daher angepasst werden.

Betroffen

• WP Booking System (WordPress-Plugin) bis einschliesslich Version 2.1.0.5
• Ob die Standardkonfiguration nicht betroffen ist, ist in den Quellen nicht angegeben; prüfen Sie die installierte Version.

Behoben in

• Version 2.1.0.6 enthält vermutlich die Korrektur. Dies ist nicht gegen die Changeset-Revision r3765778 bestätigt.
• Prüfen Sie, ob die installierte Version 2.1.0.6 oder neuer ist.

Umgehung

• In den Quellen wurde keine Massnahme gefunden. Aktualisieren Sie das Plugin.
• Bis zur Aktualisierung die Kontoregistrierung einschränken und Kalendernotizen auf unerwartete Löschungen prüfen.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
• Stand des Snapshots vom 30. Okt. 2026 ist kein öffentlicher Exploit-Code bekannt.

Unsere Empfehlung

• Erfassen Sie alle WordPress-Websites mit diesem Plugin und dokumentieren Sie die installierte Version.
• Aktualisieren Sie auf Version 2.1.0.6 oder neuer und prüfen Sie die Version.
• Deaktivieren Sie die offene Subscriber-Registrierung, sofern es die Geschäftsanforderungen erlauben.
• Sichern Sie die Kalenderdaten und prüfen Sie die jüngsten Löschungen von Notizen.
• Beobachten Sie die NVD- und Wordfence-Einträge auf die endgültige CVSS-Bewertung und die korrigierte Version.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence entry www.wordfence.com
• Vulnerable code in version 2.1.0.5 plugins.trac.wordpress.org
• Trunk changeset 3765778 plugins.trac.wordpress.org
• WordPress.org plugin page and changelog wordpress.org
• Vendor changelog wpbookingcalendar.com
• OffSeq threat radar entry radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:22.