„`html
CVE-2026-27377: Broken Access Control in QuickCal WordPress Plugin
Zusammenfassung
Eine Schwachstelle in der WordPress-Erweiterung „QuickCal – Appointment Booking Calendar“ ermöglicht unbefugten Zugriff auf Buchungsagenten-Funktionen. Die Vulnerabilität betrifft Versionen bis einschließlich 1.0.16 und erlaubt es Angreifern, auf administrative Funktionen zuzugreifen, ohne über entsprechende Berechtigungen zu verfügen. Der CVSS-Score von 6.7 klassifiziert dies als Medium-Schweregrad.
Betroffene Systeme
Plugin: QuickCal – Appointment Booking Calendar for WordPress
Versionen: <= 1.0.16
Angriffsvektor: Netzwerk (Network)
Authentifizierung: Nicht erforderlich
Alle WordPress-Installationen mit dem betroffenen Plugin sind potentiell vulnerabel. Die Schwachstelle kann remote ausgenutzt werden.
Technische Details
Die Vulnerability ist ein klassisches Broken Access Control (BAC) Problem (OWASP A01:2021). Das Plugin implementiert unzureichende Autorisierungsprüfungen bei der Verwaltung von Buchungsagenten-Funktionen. Angreifer können durch direkte HTTP-Anfragen die entsprechenden Endpunkte aufrufen und Daten manipulieren oder auslesen, ohne die erforderlichen Rollenberechtigungen zu besitzen.
Das Problem liegt in fehlenden oder unvollständigen Capability-Checks in den relevanten Plugin-Funktionen. WordPress-Funktionen wie current_user_can() werden nicht korrekt implementiert oder ganz weggelassen.
Empfohlene Massnahmen
- Sofortige Aktion: Plugin deaktivieren und deinstallieren bis ein Patch verfügbar ist
- Update: Auf eine gepatchte Version aktualisieren, sobald diese bereitgestellt wird
- Monitoring: Audit-Logs auf verdächtige Zugriffe überprüfen
- Datenprüfung: Alle Buchungsdaten auf unbefugte Änderungen überprüfen
- Alternative: Gleichwertiges Plugin mit besserer Sicherheit einsetzen
Bewertung
CVSS v3.1: 6.7 (Medium)
Patch-Status: Nicht verfügbar
Ausnutzbarkeit: Hoch – einfach über Netzwerk ausnutzbar
Priorität: Mittel-Hoch – trotz Medium-Einstufung sollte schnell reagiert werden
„`