CVE-2026-8840

Nome do Software Vulnerável e Versões Afetadas Booking calendar, Appointment Booking System versões anteriores a 3.2.37

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes não autenticados podem gravar dados de transação e status de pagamento arbitrários na tabela de pagamentos através da ação AJAX wpdevart payment. Isso permite que atacantes marquem reservas como pagas ou concluídas, cancelem pagamentos legítimos e disparem e-mails de reserva transacionais. Além disso, se a opção do site enable psuccess approval estiver ativada, os atacantes podem aprovar reservas automaticamente.

Recomendações Atualize o plugin para uma versão posterior à 3.2.36.