CVE-2023-48207

Les utilisateurs d'Availability Booking Calendar 5.0 sont affectés par une faille dans le composant de la liste des réservations qui permet l'injection CSV. Un attaquant disposant d'un accès authentifié de bas niveau peut injecter des formules malveillantes dans le champ de l'identifiant unique, lesquelles s'exécutent sur l'ordinateur d'un administrateur du site lorsque celui-ci exporte et ouvre le fichier CSV résultant. Cela ne nécessite qu'un accès réseau basique et aucune interaction particulière de l'utilisateur, hormis l'ouverture du fichier exporté par l'administrateur.