CVE-2026-87115

Nome do Software Vulnerável e Versões Afetadas VikAppointments Services Booking Calendar versões anteriores a 1.2.22

Descrição A validação insuficiente do caminho do arquivo na função extract() permite que atacantes não autenticados excluam arquivos arbitrários no servidor. Este problema pode levar à execução remota de código se arquivos críticos, como wp-config.php, forem excluídos. A exploração é possível desde que pelo menos um campo personalizado do tipo Arquivo esteja publicado no shortcode da página de confirmação, pois esta configuração não é ativa por padrão.

Recomendações Atualize para uma versão posterior à 1.2.21.