Salon Booking System : faille CSRF corrigée en 10.31.9

En bref

• Produit : Salon Booking System, extension WordPress de prise de rendez-vous en ligne.
• Versions affectées : toutes les versions antérieures à la 10.31.9.
• Version corrigée : 10.31.9.
• Sévérité : élevée, score CVSS 8.8.
• CVE : CVE-2026-110015.
• Exploitation active : inconnu.
• Date de l'avis : 16 octobre 2026.

Une vulnérabilité de type falsification de requête intersite (CSRF) a été publiée le 16 octobre 2026 dans la base NVD pour l'extension WordPress Salon Booking System. Elle porte l'identifiant CVE-2026-110015 et reçoit un score CVSS de 8.8, soit une sévérité élevée. Le correctif est disponible dans la version 10.31.9 de l'extension.

Selon la description publiée, l'extension ne vérifie pas correctement l'authenticité des requêtes adressées à l'API REST. Elle neutralise en outre un contrôle de protection prévu par WordPress lui-même pour les sessions authentifiées par cookie, et ce sur l'ensemble de l'API REST du site, pas seulement sur ses propres routes. Un attaquant non authentifié peut donc piéger un administrateur connecté en l'amenant à cliquer sur un lien préparé à cet effet : des requêtes sont alors émises depuis le navigateur de cet administrateur, avec ses droits, sans qu'il s'en aperçoive.

L'impact décrit par l'avis va jusqu'à la création d'un nouveau compte administrateur. Un tel compte donne à l'attaquant un accès complet à l'administration du site, ce qui équivaut en pratique à une prise de contrôle.

Qui est concerné ?

Sont concernés tous les sites WordPress sur lesquels l'extension Salon Booking System est installée dans une version antérieure à la 10.31.9. Le nombre d'installations actives n'est pas précisé par l'éditeur.

L'attaque suppose qu'un administrateur connecté au site clique sur un lien malveillant, reçu par exemple par e-mail ou par message. Le risque augmente lorsque plusieurs personnes disposent d'un compte administrateur, ou lorsque les sessions d'administration restent ouvertes longtemps pendant que l'on navigue ailleurs. Le site n'a pas besoin d'être exposé d'une manière particulière : il suffit que l'extension vulnérable soit active et qu'un administrateur se laisse piéger.

À la date de rédaction, la vulnérabilité ne figure pas au catalogue des failles exploitées de la CISA. L'existence d'une exploitation active reste donc inconnue, ce qui ne dispense pas d'appliquer le correctif rapidement compte tenu de la sévérité.

Que faire ?

• Mettre à jour l'extension Salon Booking System vers la version 10.31.9 ou une version ultérieure, depuis le tableau de bord WordPress ou via votre outil de maintenance habituel.
• Vérifier la liste des comptes utilisateurs et supprimer tout compte administrateur inconnu ou créé sans raison apparente.
• Consulter les journaux du site et de l'hébergement à la recherche de modifications inattendues : nouvelles extensions, changements de réglages, contenus altérés.
• Tant que la mise à jour n'est pas faite, éviter d'ouvrir des liens de provenance inconnue pendant une session d'administration, et se déconnecter après chaque intervention.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, appliquer immédiatement la mise à jour, puis renouveler les mots de passe des comptes administrateurs.

Sources

• NVD : fiche CVE-2026-110015 (avis de référence : description, score et date de publication).
• WPScan : Salon Booking System (base de vulnérabilités WordPress, recoupement).