CVE-2026-105996
Publiée le 2026-10-21 · Dernière modification le 2026-10-21
Booking Package pour les versions de WordPress antérieures à 1.7.31 est une extension utilisée pour gérer la planification de rendez-vous et les réservations. La faille existe car l'extension génère des jetons d'annulation à l'aide de valeurs prévisibles et publiquement visibles, au lieu d'utiliser un générateur de nombres aléatoires sécurisé. Un attaquant peut utiliser ces valeurs publiques pour reconstruire mathématiquement le jeton unique de n'importe quelle réservation spécifique.
Un attaquant non authentifié ayant un accès réseau peut utiliser cette méthode pour consulter les données de réservation personnelles d'un client ou annuler sa réservation si les annulations par les visiteurs sont activées. Bien que l'impact sur la confidentialité et l'intégrité soit faible, l'attaque est difficile à exécuter car elle nécessite un effort technique important pour reconstruire les jetons. Aucune interaction de l'utilisateur ni aucun identifiant de compte ne sont requis pour exploiter cette faille.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Booking Package WordPress plugin before 1.7.31 does not generate booking cancellation tokens using a secure source of randomness, deriving them instead from values it exposes publicly, so an unauthenticated attacker can reconstruct an arbitrary booking's token, disclose that booking's personal data and, where visitor cancellation is enabled, cancel the booking.