**Nueva vulnerabilidad crítica en el plugin WP Booking System para WordPress: CVE-2026-116557**
Recientemente se ha identificado una vulnerabilidad crítica en el plugin WP Booking System - Booking Calendar para WordPress, catalogada como CVE-2026-116557, que ha recibido una alarmante puntuación de 9.1 sobre 10 en la escala del Common Vulnerability Scoring System (CVSS). Dada su gravedad, es imperativo que los equipos de seguridad presten atención inmediata a esta situación, ya que puede tener consecuencias significativas para los millones de sitios web que dependen de este plugin para la gestión de reservas y calendarios.
La vulnerabilidad en cuestión permite la modificación no autorizada de datos, debido a la falta de una verificación adecuada de capacidades en la función wpbs_action_ajax_calendar_remove_note(). Este defecto afecta a todas las versiones del plugin hasta e incluyendo la 2.1.0.5. Lo preocupante de esta situación es que los atacantes autenticados, con acceso de nivel de Suscriptor o superior, pueden eliminar notas arbitrarias de calendarios pertenecientes a cualquier usuario, lo que podría llevar a la pérdida de información crítica y a la manipulación de datos.
Desde un punto de vista técnico, esta vulnerabilidad se clasifica como CWE-862, lo que indica que se trata de una debilidad relacionada con la falta de control de acceso. Esto significa que el software no está implementando adecuadamente las restricciones necesarias para garantizar que solo los usuarios autorizados puedan realizar ciertas acciones. El vector de ataque correspondiente es de tipo NETWORK, lo que implica que la explotación puede llevarse a cabo a través de la red. Además, la complejidad del ataque es baja, lo que facilita aún más la explotación de esta vulnerabilidad por parte de ciberdelincuentes con habilidades básicas. Cabe destacar que no se requieren privilegios especiales ni interacción del usuario para llevar a cabo el ataque, lo que aumenta su peligrosidad.
La puntuación de 9.1 en la escala CVSS indica que esta vulnerabilidad se considera CRÍTICA, situándose en la parte más alta de la tabla de riesgos. Generalmente, las vulnerabilidades con puntuaciones superiores a 9.0 permiten la ejecución remota de código, la escalada de privilegios o un compromiso total del sistema, lo que justifica la urgencia de abordar esta cuestión con la máxima celeridad.
Para aquellos administradores de sistemas que utilicen el plugin WP Booking System, es crucial que consulten las referencias técnicas disponibles para aplicar los parches necesarios y mitigar el riesgo. Los enlaces a los archivos relevantes que contienen el código problemático son: [Línea 111](https://plugins.trac.wordpress.org/browser/wp-booking-system/tags/2.1.0.5/includes/base/admin/calendar/functions-notes.php#L111), [Línea 119](https://plugins.trac.wordpress.org/browser/wp-booking-system/tags/2.1.0.5/includes/base/admin/calendar/functions-notes.php#L119) y [Línea 123](https://plugins.trac.wordpress.org/browser/wp-booking-system/tags/2.1.0.5/includes/base/admin/calendar/functions-notes.php#L123).
Es fundamental que todas las organizaciones que utilicen este software apliquen los parches de seguridad de inmediato y revisen sus sistemas en busca de indicadores de compromiso. Asimismo, se recomienda monitorizar el tráfico de red en busca de actividades sospechosas que puedan estar relacionadas con esta vulnerabilidad. La prevención y la reacción rápida son clave para mitigar los efectos de esta crítica brecha de seguridad y proteger la integridad de los datos en los sistemas afectados.