Booking Calendar до 11.8.3: Editor+ раскрывает произвольные опции WordPress (CVE-2026-105195)

В экосистеме WordPress плагины нередко получают доступ к внутренним механизмам ядра, и ошибки в разграничении прав на этом уровне способны привести к утечке чувствительных данных. Именно такая проблема выявлена в Booking Calendar — популярном плагине для организации бронирований.

Подробности

Уязвимость CVE-2026-105195 затрагивает Booking Calendar в диапазоне версий от 10.15 до 11.8.2 включительно. Согласно описанию, плагин до версии 11.8.3 не обеспечивает достаточного ограничения того, какие опции может загружать пользователь с пониженными привилегиями через один из обработчиков настроек. В результате пользователь с ролью Editor и выше получает возможность раскрывать значения произвольных опций WordPress, включая параметры базовой конфигурации сайта. Речь идёт именно о раскрытии информации (information disclosure), а не о выполнении произвольного кода или изменении данных. Это важно при оценке рисков: атакующему требуется уже иметь учётную запись с ролью Editor или выше, что несколько снижает порог эксплуатации для внутренних сценариев угроз, но делает уязвимость опасной на сайтах с несколькими редакторами, подрядчиками или при компрометации такой учётной записи. Публичная оценка CVSS в записи CVE не приводится, поэтому формальный уровень критичности не указан. Тем не менее утечка значений опций ядра может раскрыть сведения о конфигурации сайта, которые злоумышленник использует для подготовки дальнейших атак.

Что делать

Основная и достаточная рекомендация — обновить Booking Calendar до версии 11.8.3 или более поздней. Поскольку исправление закрывает сам механизм недостаточной проверки прав в обработчике настроек, обновление является предпочтительным решением. Если немедленное обновление невозможно: - проверьте и по возможности сократите число пользователей с ролями Editor и выше, пересмотрев необходимость таких прав; - включите аудит действий пользователей, чтобы отслеживать подозрительные обращения к настройкам; - усилите контроль доступа к административной части сайта (двухфакторная аутентификация, ограничение по IP, своевременный отзыв доступов уволенных сотрудников и подрядчиков). Дополнительно стоит учесть, что уязвимость эксплуатируется изнутри — с уже аутентифицированной учётной записью, — поэтому ключевой митигацией остаётся строгое управление ролями и своевременное обновление плагинов. Итог: CVE-2026-105195 — уязвимость раскрытия информации в Booking Calendar до 11.8.3. Прямого риска для неаутентифицированных посетителей нет, но владельцам сайтов с ролями Editor+ следует как можно быстрее обновиться до версии 11.8.3 и пересмотреть права пользователей.

Источник: CVE Project (cvelistV5)