CVE-2026-123128 Reserva doble de miembros de equipo en GemBooking por condición de carrera
El plugin no serializa las solicitudes de reserva concurrentes por miembro del equipo, lo que permite a usuarios no autenticados crear reservas confirmadas superpuestas para el mismo miembro en distintos elementos reservables mediante el envío de solicitudes simultáneas. Corregido en la versión 1.7.1.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 1
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
GemBooking
hasta antes de 1.7.1
Qué hacer
- Verificá si usás GemBooking y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The GemBooking WordPress plugin before 1.7.1 does not serialise concurrent booking requests per team member, allowing unauthenticated users to create overlapping confirmed bookings for the same team member across different bookable items by sending simultaneous requests.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.