WP BASE Booking Plugin: Privilegienerweiterung zu Administrator

Zusammenfassung

WP BASE Booking, ein WordPress-Plugin für Terminbuchungen und Dienstleistungen, enthält in allen Versionen bis einschliesslich 6.5.2 eine Schwachstelle zur Privilegienerweiterung. Ein authentifizierter Benutzer mit der Rolle Subscriber kann höhere Rechte erlangen, potenziell bis zum Administrator, was die volle Kontrolle über die Website ermöglichen würde. Eine offizielle Korrektur ist noch nicht bestätigt, und es ist nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.

Betroffen

• WP BASE Booking (WordPress-Plugin) von Hakan Ozevin, alle Versionen bis einschliesslich 6.5.2
• Angreifer benötigt ein gültiges Subscriber-Konto

Behoben in

• Unbekannt. Eine Drittquelle nennt Version 6.5.3, dies ist jedoch vom Hersteller nicht bestätigt.

Umgehung

• Dem Hersteller oder einer CVE-spezifischen Massnahme ist kein Workaround bekannt.
• Öffentliche Selbstregistrierung deaktivieren, falls sie nicht benötigt wird.
• Konten mit der Rolle Subscriber und kürzliche Rollenänderungen überprüfen.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; nicht im CISA-KEV-Katalog aufgeführt.
• Laut VulDB sind keine öffentlichen Exploits oder technischen Details bekannt.
• Patchstack stuft das Problem als hohe Priorität ein.

Unsere Empfehlung

• Prüfen, ob WP BASE Booking installiert ist und welche Version auf Kundenseiten läuft.
• Öffentliche Selbstregistrierung dort deaktivieren, wo sie nicht benötigt wird.
• Subscriber-Konten und kürzliche Rollenänderungen prüfen, insbesondere zu Administrator oder Editor.
• Nach Bestätigung auf die vom Hersteller freigegebene Version aktualisieren; bis dahin das Plugin auf Updates überwachen und den Zugriff einschränken.
• Auf unerwartete Administratorkonten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack vulnerability record CVE-2026-118086 patchstack.com
• VulDB entry 429317 vuldb.com
• Positive Technologies record PT-2026-133764 vulners.com
• OffSeq threat radar CVE-2026-118086 radar.offseq.com
• Strix CVE-2026-118086 www.strix.ai
• WordPress.org plugin page wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:42.