Kritieke BookIt-kwetsbaarheid maakt SQL-injectie mogelijk zonder inloggegevens
Een kritieke BookIt kwetsbaarheid maakt het mogelijk dat aanvallers zonder inloggegevens SQL-injectie uitvoeren op WordPress-websites die de BookIt-plugin gebruiken. Het beveiligingsprobleem is geregistreerd als CVE-2026-62048 en heeft een CVSS-score van 9.3. De kwetsbaarheid treft BookIt-versies tot en met 2.6.0.6. De ontwikkelaar heeft versie 2.6.0.7 uitgebracht om het probleem te verhelpen. Vservs adviseert beheerders van websites met online afspraken en reserveringen onmiddellijk hun pluginversie te controleren.
BookIt is een WordPress-plugin voor het beheren van online afspraken, reserveringen en beschikbaarheidskalenders.
De plugin wordt gebruikt door onder andere dienstverleners, bedrijven en organisaties die klanten via hun website afspraken laten maken.
Volgens WordPress.org heeft BookIt meer dan 4.000 actieve installaties.
Wat is de BookIt kwetsbaarheid?
CVE-2026-62048 is een SQL-injectiekwetsbaarheid.
SQL-injectie ontstaat wanneer een applicatie door een gebruiker aangeleverde gegevens onvoldoende controleert voordat deze worden verwerkt in databasequery’s.
Een aanvaller kan proberen speciaal geconstrueerde invoer te gebruiken om de betekenis van een databasequery te veranderen.
Afhankelijk van de kwetsbare code en de rechten van de databasegebruiker kan dit leiden tot ongeautoriseerde toegang tot gegevens.
Patchstack heeft bevestigd dat BookIt-versies tot en met 2.6.0.6 kwetsbaar zijn voor SQL-injectie zonder authenticatie.
Waarom is deze kwetsbaarheid ernstig?
WordPress gebruikt doorgaans een MySQL- of MariaDB-database voor het opslaan van websitegegevens.
Ook BookIt gebruikt de database voor het verwerken van reserveringen, klantgegevens en andere informatie.
Wanneer een aanvaller via een kwetsbare plugin databasequery’s kan manipuleren, kunnen de gevolgen ernstig zijn.
Afhankelijk van de gebruikte databaseconfiguratie kan een succesvolle aanval leiden tot:
- Ongeautoriseerde toegang tot databasegegevens.
- Uitlezen van reserveringsinformatie.
- Ongewenste wijzigingen aan opgeslagen gegevens.
- Manipulatie of verwijdering van database-inhoud.
- Mogelijke blootstelling van vertrouwelijke informatie.
- Verstoring van het reserveringssysteem.
De daadwerkelijke mogelijkheden van een aanvaller hangen af van de databasequery’s die kunnen worden beïnvloed en de rechten van de databasegebruiker.
SQL-injectie betekent niet automatisch dat een aanvaller rechtstreeks opdrachten kan uitvoeren op het Linux-besturingssysteem.
Welke BookIt-versies zijn kwetsbaar?
- Plugin: BookIt – Booking & Appointment Calendar.
- Plugin slug: bookit.
- Kwetsbare versies: 2.6.0.6 en ouder.
- Eerste veilige versie: 2.6.0.7.
- CVE: CVE-2026-62048.
- CVSS: 9.3 – Critical.
- Patchstack-prioriteit: High.
- Vereiste authenticatie: Geen.
De ontwikkelaar heeft op 29 oktober 2026 versie 2.6.0.7 uitgebracht.
Volgens de officiële changelog bevat deze versie beveiligingsverbeteringen voor het publiek toegankelijke reserveringsproces en de verwerking van prijzen.
Waarom verdient het reserveringsproces extra aandacht?
Een belangrijk onderdeel van BookIt is de mogelijkheid om rechtstreeks via een website een afspraak te maken.
Daarvoor moeten bezoekers gegevens kunnen versturen naar het reserveringssysteem.
Deze functionaliteit is in veel gevallen toegankelijk zonder dat bezoekers eerst een WordPress-account hoeven aan te maken.
Dat maakt een kwetsbaarheid in de verwerking van dergelijke verzoeken bijzonder relevant.
Wanneer onvoldoende beveiligde invoer in een databasequery terechtkomt, kan mogelijk SQL-injectie ontstaan.
De beveiligingsupdate bevat verbeteringen voor de verwerking van publiek toegankelijke reserveringsverzoeken.
Wordt CVE-2026-62048 actief misbruikt?
Met stand van 2 november 2026 is er geen ondubbelzinnige bevestiging gevonden van actieve exploitatie van deze specifieke kwetsbaarheid in het wild.
Patchstack heeft de kwetsbaarheid wel aangemerkt als een beveiligingsprobleem met hoge prioriteit dat geschikt kan zijn voor geautomatiseerde aanvallen.
Deze risicobeoordeling is geen bewijs dat dergelijke aanvallen daadwerkelijk plaatsvinden.
Vanwege de technische impact adviseert Vservs om de beschikbare beveiligingsupdate onmiddellijk te installeren.
Hoe controleert u de geïnstalleerde BookIt-versie?
Open het WordPress-dashboard en ga naar Plugins → Geïnstalleerde plugins.
Zoek BookIt en controleer het geïnstalleerde versienummer.
Beheerders met WP-CLI kunnen de pluginversie controleren met:
wp plugin get bookit --field=versionWanneer versie 2.6.0.6 of ouder wordt gebruikt, moet de plugin worden bijgewerkt naar versie 2.6.0.7 of nieuwer.
Controleer reserveringen op verdachte activiteiten
Wanneer een kwetsbare versie van BookIt werd gebruikt, adviseert Vservs de website en reserveringsgegevens te onderzoeken.
Controleer onder andere:
- Ongebruikelijke verzoeken naar reserveringsfunctionaliteit.
- Verdachte invoer in reserveringsformulieren.
- Onverklaarbare wijzigingen aan afspraken.
- Afwijkende reserveringsgegevens.
- Onverwachte wijzigingen aan klantgegevens.
- Onverklaarbare afwijkingen in prijzen of betalingen.
- Databasefouten die samenvallen met verdachte HTTP-verzoeken.
- Onverwachte wijzigingen aan WordPress-gebruikersaccounts.
Deze indicatoren zijn algemene onderzoeksmaatregelen en bewijzen niet zelfstandig dat CVE-2026-62048 is misbruikt.
Bij aanwijzingen voor compromittering moeten relevante logbestanden en databasegegevens worden veiliggesteld voordat uitgebreide herstelwerkzaamheden plaatsvinden.
Welke beveiligingsmaatregelen adviseert Vservs?
- Controleer alle WordPress-installaties waarop BookIt wordt gebruikt.
- Maak een actuele back-up van de website en database.
- Installeer BookIt 2.6.0.7 of nieuwer.
- Controleer reserveringen op onverwachte wijzigingen.
- Onderzoek verdachte verzoeken in webserverlogs.
- Controleer de database op ongeautoriseerde wijzigingen wanneer daar concrete aanwijzingen voor bestaan.
- Test het reserveringsproces na de beveiligingsupdate.
- Controleer eventuele koppelingen met betalingsproviders en externe kalenders.
Wanneer een beveiligingsupdate niet onmiddellijk mogelijk is, kan het tijdelijk uitschakelen van de kwetsbare reserveringsfunctionaliteit worden overwogen.
Dit kan gevolgen hebben voor de beschikbaarheid van online afspraken.
Managed WordPress Hosting bij Vservs
Vservs biedt professioneel beheerde hostingoplossingen voor WordPress-websites en zakelijke applicaties.
Met Managed WordPress Hosting kunnen bedrijven en organisaties hun WordPress-omgeving professioneel laten beheren en onderhouden.
Daarnaast levert Vservs Managed VPS Hosting voor organisaties die behoefte hebben aan een professioneel beheerde Linux-serveromgeving.
De exacte verantwoordelijkheid voor applicatie- en pluginupdates is afhankelijk van het overeengekomen beheerpakket.
Volg regelmatig onze Vservs Security & Beveiligingsupdates voor actuele beveiligingsmeldingen.
Conclusie
De BookIt kwetsbaarheid CVE-2026-62048 vormt een ernstig risico voor WordPress-websites die kwetsbare pluginversies gebruiken.
Omdat het beveiligingsprobleem zonder authenticatie kan worden misbruikt voor SQL-injectie, is snelle installatie van de beveiligingsupdate belangrijk.
Vservs adviseert websitebeheerders om onmiddellijk naar versie 2.6.0.7 of nieuwer bij te werken en verdachte reserveringsactiviteiten waar nodig te onderzoeken.