Vulnerabilidad en plugin de WordPress Appointment Booking Calendar (CVE-2026-7493)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-400 Consumo de recursos no controlado (Agotamiento de recursos)

Fecha de publicación:

27/05/2026

Última modificación:

23/07/2026

Descripción

El plugin Appointment Booking Calendar - Simply Schedule Appointments Booking Plugin para WordPress es vulnerable a denegación de servicio en todas las versiones hasta la 1.6.11.5, inclusive. Esto se debe a un endpoint de la API REST accesible públicamente (/wp-json/ssa/v1/async) que llama a la función sleep() de PHP sobre un parámetro de retardo proporcionado por el usuario sin ninguna limitación de velocidad. Esto hace posible que atacantes no autenticados agoten los procesos de trabajador de PHP, negando el acceso al sitio a usuarios legítimos.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x

5.30

Gravedad 3.x

MEDIA

Vulnerabilidad en plugin de WordPress Appointment Booking Calendar (CVE-2026-7493)

Descripción

Impacto

Referencias a soluciones, herramientas e información