Vulnerabilidad en Booking Calendar para WordPress (CVE-2026-2230)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

18/02/2026

Última modificación:

18/02/2026

Descripción

El plugin Booking Calendar para WordPress es vulnerable a Referencia Directa Insegura a Objeto en todas las versiones hasta la 10.14.14, inclusive, a través de la función handle_ajax_save debido a la falta de validación en una clave controlada por el usuario. Esto hace posible que atacantes autenticados, con acceso de nivel Suscriptor y superior, y permisos de reserva otorgados por un Administrador, modifiquen la configuración del plugin de otros usuarios, como las opciones de visualización del calendario de reservas, lo que puede interrumpir la funcionalidad del calendario de reservas para el usuario objetivo.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

4.30

Gravedad 3.x

MEDIA

Vulnerabilidad en Booking Calendar para WordPress (CVE-2026-2230)

Descripción

Impacto

Referencias a soluciones, herramientas e información