WordPress「WP Booking System」2.1.0.5 以前で、購読者権限でも任意のカレンダーメモを削除できる権限チェック欠落（CVE-2026-116557）: CVSS 9.1（Wordfence）、修正版は推定

World Security 編集部2026年11月1日公開

目次（4）

要点

WP Booking System – Booking Calendar 2.1.0.5 までの全版：メモ削除の Ajax 処理に権限チェックがなく、購読者以上の認証済みユーザーが任意のカレンダーのメモを削除できると説明されている。再現は当サイトでは未実施
CVSS v3.1 は 9.1（Wordfence の値）。NVD の状態は Received。ベクターは権限不要（PR:N）だが説明文は購読者以上で、食い違いあり。EPSS は 0.35%（パーセンタイル 28.4%）、KEV なし、実際の悪用の報告は未確認
影響は他者のカレンダーのメモの削除で、情報漏えいやコード実行は説明に含まれていない（CNA の説明）
修正版の番号は未確認。確認時点の最新版は 2.1.0.7 で、更新と変更履歴の確認を推奨（推定）。誰でも登録できる設定のサイトは特に注意
メモ以外への影響、具体的な悪用条件、悪用の有無は未確認

CVE-2026-116557

NVD は 2026-10-31（07:16 UTC）に、WordPress 向けプラグイン「WP Booking System – Booking Calendar」の CVE-2026-116557 を登録しました。説明によれば、2.1.0.5 までのすべての版で、wpbs_action_ajax_calendar_remove_note() 関数に権限チェックの欠落（CWE-862）があり、購読者（Subscriber）以上の認証済みユーザーが、任意のカレンダーに属するメモを削除できるとされています。登録元（CNA）は Wordfence で、NVD の状態は登録直後の「Received」（NVD 自身の分析は未実施）です。

何が起きるか（CNA の説明）

弱点の種別は CWE-862（認可の欠落）です。メモを削除する Ajax 処理で、操作する人の権限を確認していません。
購読者権限のアカウントがあれば、どのカレンダーのメモでも削除できると説明されています。データの改変（削除）が問題で、情報の漏えいやコード実行は説明に含まれていません。
CVSS v3.1 は 9.1（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H）です。Wordfence（CNA）が付与した値で、NVD 自身の評価はまだありません。
なお、この評価ベクターでは権限要件が「不要（PR:N）」ですが、説明文は「購読者以上の認証済みユーザー」としています。両者は食い違っており、実際に必要な権限は説明文のほうが実態に近い可能性があります（推定）。サイトで利用者登録が開放されている場合は、実質的に誰でも条件を満たせる点にも注意が必要です。
参照先に、修正前の該当ソース（functions-notes.php、2.1.0.5）の複数行と、プラグインのリポジトリ上の変更履歴（changeset）、Wordfence の脆弱性情報が載っています。当サイトでは中身を開いていません。
実際の攻撃での悪用の報告は確認できていません。公開されている攻撃コードの有無も確認していません。

影響を受ける条件と評価

項目	内容
対象	WP Booking System – Booking Calendar 2.1.0.5 までのすべての版（CNA の記載）
前提	購読者以上のアカウントでログインできること（説明文の記載）。ベクター上は権限不要（PR:N）で、食い違いあり
影響	任意のカレンダーのメモの削除（完全性・可用性への影響）
CVSS	v3.1 は 9.1（Critical）。Wordfence（CNA）の値
状態	NVD の状態は「Received」（登録直後。NVD 自身の分析は未実施）
EPSS	0.35%（パーセンタイル 28.4%、2026-10-31 時点。FIRST の値）
KEV	掲載なし（確認時点の版）
修正	修正版の番号は NVD に見当たらない

対応として考えられること（本記事の推定）

WP Booking System を使っている場合、プラグインの版が 2.1.0.5 以下かを確認します。
参照先にプラグインのリポジトリ上の変更履歴（changeset）があることから、権限チェックを加える修正は入っていると推定されます。WordPress.org のプラグイン情報では、確認時点（2026-11-01）の最新版は 2.1.0.7 でした。ただし、どの版で脆弱性が修正されたかは、本記事では確認できていません。最新版へ更新し、プラグインの変更履歴で確かめてください。
更新までの間、購読者などの低い権限のアカウントを新規に作れる設定（誰でも登録可能）になっていないか見直します。
予約カレンダーのメモが意図せず消えていないか、必要なら管理者がバックアップと突き合わせます。具体的な攻撃の指標は公開されておらず、未確認です。

未確認の点

修正版の番号と、修正の中身（どのチェックを加えたか）は確認していません。
攻撃の再現はしていません。メモの削除以外に影響が及ぶかは、説明以上のことは未確認です。
悪用の報告は確認できていません。KEV にも載っていません（確認時点の版）。
CVSS は Wordfence の値のみで、NVD 自身の評価は確認できていません。本記事の severity 欄は、影響が説明上メモの削除に限られ、必要な権限も説明文では購読者以上であることから、CVSS 9.1 より一段低い high としました（当サイトの判断）。実際の深刻度は環境によって異なります。
当サイトでは、挙動を再現していません。記載は NVD の記載に基づきます。
日付は NVD の登録（2026-10-31 07:16 UTC）に基づきます。