CVE-2026-4807

Un plugin de WordPress llamado Appointment Booking Calendar tiene un problema en su mecanismo de manejo de permisos, específicamente dentro del método nonce_permissions_check(). Un nonce sitio completo y reutilizable, accesible a través de un endpoint público, no se valida adecuadamente cuando se utiliza conjuntamente con un valor de header WP-Nonce arbitrario. Como resultado, los atacantes pueden obtener este nonce y explotarlo para ver o eliminar cualquier cita en el sitio, comprometiendo información sensible y afectando servicios.

Basado en datos públicos de CVE (MITRE/NVD).