CVE-2026-6449WordPress的Booking for Appointments and Events Calendar – Amelia插件在2.1.2及之前版本中存在不当授权漏洞。该漏洞源于授权逻辑中的逻辑短路缺陷，导致当预订状态为“等待”时，完全跳过令牌验证。这使得未经身份验证的攻击者可以通过向公开可访问的admin-ajax端点发送精心构造的请求，批准任何处于“等待”状态的预订。
该漏洞的核心原因在于`ApproveBookingRemotelyCommandHandler.php`和相关控制器中的授权检查逻辑存在缺陷。在正常流程中，系统应验证请求中是否包含有效的令牌（如Nonce或用户令牌），以确保请求是由授权用户发起的。然而，代码中存在逻辑短路问题：当处理预订批准请求时，如果检测到预订当前状态为“waiting”，代码路径会直接跳过后续的令牌验证步骤，转而直接执行批准操作。攻击者无需登录WordPress后台，只需枚举或推测目标预订的ID，即可构造一个指向`/wp-admin/admin-ajax.php`的POST请求。由于验证被绕过，服务器将接受该请求并将预订状态从“waiting”更改为“approved”，从而破坏了系统的完整性。