PT-2026-34857 · WordPress · Booking-Calendar-Contact-Form

Publicado 2026-04-24 · Atualizado 2026-04-25 · CVE-2026-6810

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Booking Calendar Contact Form versões anteriores a 1.2.64

Descrição O plugin Booking Calendar Contact Form para WordPress contém um problema de Insecure Direct Object Reference (IDOR) — uma falha onde uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. O problema existe no arquivo dex bccf admin int calendar list.inc.php devido à falta de validação em uma chave controlada pelo usuário. Isso permite que atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior assumam o controle de calendários de outros usuários e visualizem os dados do usuário associados ao calendário.

Recomendações Atualize o plugin para uma versão posterior a 1.2.63. Como medida paliativa temporária, restrinja o acesso ao arquivo dex bccf admin int calendar list.inc.php para minimizar o risco de exploração.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-6810

Produtos afetados

Booking-Calendar-Contact-Form

Referências · 10

• https://twitter.com/CVEnew/status/2048099313318760742 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/booking-calendar-contact-form/tags/1.2.63/dex_bccf_admin_int_calendar_list.inc.php#L38 · Nota
• https://plugins.trac.wordpress.org/browser/booking-calendar-contact-form/tags/1.2.63/dex_bccf.php#L608 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-6810 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/booking-calendar-contact-form/tags/1.2.63/dex_bccf_admin_int_calendar_list.inc.php#L71 · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3512197%40booking-calendar-contact-form&new=3512197%40booking-calendar-contact-form&sfp_email=&sfph_mail= · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/a3977d10-239d-4b83-ab0c-ad165485498d?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/booking-calendar-contact-form/trunk/dex_bccf_admin_int_calendar_list.inc.php#L38 · Nota
• https://plugins.trac.wordpress.org/browser/booking-calendar-contact-form/trunk/dex_bccf.php#L608 · Nota
• https://plugins.trac.wordpress.org/browser/booking-calendar-contact-form/trunk/dex_bccf_admin_int_calendar_list.inc.php#L71 · Nota