Booking Calendar до 11.8: утечка и изменение бронирований через предсказуемый хеш (CVE-2026-105193)
В WordPress-плагине Booking Calendar версий до 11.8 обнаружена уязвимость, позволяющая неаутентифицированному злоумышленнику предсказать хеш доступа к бронированию и прочитать персональные данные клиента либо изменить запись. Проблема связана с недостаточной энтропией генерируемых хешей. Уязвимость затрагивает сайты, использующие плагин для приёма онлайн-бронирований.
Подробности
Уязвимость затрагивает WordPress-плагин Booking Calendar в версиях ниже 11.8. Согласно описанию CVE, плагин формирует индивидуальные хеши доступа к каждому бронированию с недостаточной энтропией: значение хеша выводится из низкоэнтропийного параметра, зависящего от времени (time-seeded value). Поскольку такой хеш фактически определяется временем создания брони, злоумышленник, способный определить или приблизительно вычислить это время, может перебрать небольшой набор вариантов и предсказать корректный хеш доступа. Это не требует аутентификации на сайте. Получив валидный хеш, атакующий способен: - прочитать персональные данные, привязанные к бронированию (раскрытие информации); - изменить существующую бронь прямо на месте (несанкционированная модификация). Точное значение CVSS в записи CVE не приводится. Тип уязвимости — недостаточная энтропия генерируемых значений (CWE, связанный с использованием предсказуемых значений и слабой генерацией случайных чисел), приводящая к раскрытию информации и её подмене.Что делать
Основная рекомендация — обновить плагин Booking Calendar до версии 11.8 или более поздней. В этой версии проблема устранена. Дополнительные меры: - если обновление невозможно в кратчайшие сроки, рассмотрите временное отключение плагина или ограничение доступа к функциям просмотра и редактирования бронирований; - проверьте журналы веб-сервера и плагина на предмет подозрительных обращений к эндпоинтам бронирований, особенно с перебором параметров; - проведите ревизию существующих записей на предмет несанкционированных изменений; - уведомите клиентов, чьи данные могли быть скомпрометированы, если появятся признаки несанкционированного доступа. Итог CVE-2026-105193 — это уязвимость раскрытия информации и модификации данных в Booking Calendar, эксплуатируемая без аутентификации за счёт предсказуемости хеша доступа. Она опасна тем, что не требует учётных данных и может привести как к утечке персональных данных клиентов, так и к порче бронирований. Единственное надёжное решение — обновление до версии 11.8. Владельцам сайтов на WordPress, использующим этот плагин, следует провести обновление как можно скорее и проверить целостность существующих броней.Источник: CVE Project (cvelistV5)