Resumo: O plugin WP Booking System – Booking Calendar, até a versão 2.1.0.3, não verifica se o usuário tem permissão para ver o conteúdo dos e-mails de notificação de reservas (CVE-2026-108123, CVSS 7.5). Basta percorrer os identificadores booking_id e email_log_id para obter nomes, e-mails, telefones, mensagens e datas de reserva dos clientes; segundo o aviso, a falha pode ser explorada até por contas de nível Assinante, já que a página de perfil do wp-admin é acessível a qualquer usuário logado. É um risco direto de vazamento de dados pessoais (LGPD) para sites de reservas.
Fonte: TheHackerWire / Wordfence Intelligence
O que fazer: Atualize o WP Booking System para a versão mais recente (acima da 2.1.0.3). Se o site permite cadastro aberto de usuários, revise contas de Assinante recentes e suspeitas e considere desativar o registro público temporariamente; verifique nos logs de acesso requisições repetidas ao wp-admin com parâmetros booking_id/email_log_id.