Injection SQL dans WP Booking System – Booking Calendar

Veille sécuritéCMS & e-commerce

P4Moyenne

Le plugin WP Booking System – Booking Calendar est vulnérable à une injection SQL via le paramètre `data[orderby]`, exploitable par un utilisateur authentifié disposant au moins de droits d’administrateur. Les versions jusqu’à 2.1.0.1 inclus sont concernées; l’exploitation décrite nécessite un calendrier comptant plus de 200 réservations.

IdentifiantCVE-2026-111178

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-111178

Analyse technique

Le paramètre fourni par l’utilisateur n’est pas suffisamment échappé et la requête SQL existante n’est pas suffisamment préparée. L’attaquant peut ajouter des requêtes SQL et extraire des données; la branche AJAX concernée ne transmet la valeur que si le calendrier dépasse 200 réservations.

Impact, versions et correctif

Événement datéLa fiche indique une première publication NVD le 2026-10-16 à 07:17:11.960Z, dans la période demandée; l’item est retenu sur cette date de publication, et non sur la seule date de mise à jour.

ImpactExtraction possible de données sensibles de la base de données.

Versions affectéesToutes les versions jusqu’à 2.1.0.1 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.9

EPSS0,29% · percentile 20,6%

Publication2026-10-16T07:17:11.960Z

Mise à jour2026-10-16T15:17:13.497Z

Action recommandée

Limiter l’accès aux comptes administrateurs et surveiller les calendriers ayant plus de 200 réservations; appliquer un correctif éditeur dès qu’il est disponible.

Sources

NVD — CVE-2026-111178

Priorisation DFS : P4 · 1 source(s).