Veille sécuritéCMS & e-commerce
P3Critique
WP Booking System – Booking Calendar présente un contrôle de capacité manquant dans la fonction de suppression de notes de calendrier, dans les versions jusqu’à 2.1.0.5 incluses. Un attaquant authentifié disposant au minimum d’un accès Subscriber peut supprimer des notes appartenant à n’importe quel calendrier.
WordPress
IdentifiantCVE-2026-116557
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116557
Analyse technique
La fonction wpbs_action_ajax_calendar_remove_note() ne vérifie pas les capacités avant l’action de suppression.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-31T07:16:35.857Z, dans la période retenue; la mise à jour NVD du 2026-11-02 est postérieure et n’est pas retenue.
ImpactUn utilisateur authentifié au niveau Subscriber ou supérieur peut supprimer des notes de calendrier sans autorisation.
Versions affectéesVersions jusqu’à 2.1.0.5 incluses
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.1
EPSS0,35% · percentile 28,4%
Publication2026-10-31T07:16:35.857Z
Sources
Priorisation DFS : P3 · 1 source(s).