CVE-2026-32384

WpBookingly (versions 1.2.9 et antérieures) permet à un utilisateur authentifié d'inclure des fichiers locaux sur le serveur en manipulant les champs de saisie des noms de fichiers. Un attaquant disposant d'un compte avec des privilèges restreints peut utiliser cette faille pour lire des fichiers système sensibles ou potentiellement exécuter du code arbitraire. Comme elle nécessite une authentification et une configuration de requête complexe, il ne s'agit pas d'un exploit simple et immédiat, mais elle permet d'obtenir un contrôle total sur l'application concernée une fois réalisée.