CVE-2026-123064 Escalada de privilegios en WP BASE Booking of Appointments, Services and Events
El plugin no restringe adecuadamente el acceso a una de sus acciones de creación de usuarios, lo que permite a usuarios autenticados con nivel Subscriber o superior crear una nueva cuenta de administrador y así escalar sus privilegios. Corregido en la versión 6.5.1.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 2
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
WP BASE Booking of Appointments, Services and Events
desde 6.5.0 hasta antes de 6.5.1
Qué hacer
- Verificá si usás WP BASE Booking of Appointments, Services and Events y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The WP BASE Booking of Appointments, Services and Events WordPress plugin before 6.5.1 does not properly restrict access to one of its user-creation actions, allowing authenticated users with Subscriber-level access and above to create a new administrator account and thereby escalate their privileges.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.