home / blog
2026-11-06 · critica
CVE-2026-119516: Object Injection in Radius Booking
Deserialization critical (CVSS 9,8) in Radius Booking: Object Injection. Versioni fino a 1.0.20.
Il CVE-2026-119516 riguarda una vulnerabilità di Deserialization of Untrusted Data nel plugin Radius Booking — Booking Calendar for Appointments & Services, utilizzato per gestire prenotazioni e appuntamenti online. La falla consente Object Injection colpendo le istanze del plugin fino alla versione 1.0.20.
La vulnerabilità è classificata CVSS 9,8 (critical). Il CVE è stato pubblicato su NVD il 6 novembre 2026; al momento, nessun exploit è segnalato su repository pubblici GitHub. Tuttavia, segnali di awareness da X (2 post nelle ultime 24 ore) suggeriscono che la comunità di sicurezza ha già identificato la falla come prioritaria.
Verifica immediatamente la versione di Radius Booking installata. Se utilizzi versioni fino a 1.0.20, monitora i canali ufficiali del plugin per la disponibilità di una patch. Nel frattempo, segmenta l'accesso al plugin, applica WAF per validare i dati in input, e riduci l'esposizione della superficie di attacco del sistema di booking.
In sintesi
- Cosa
- Deserialization of Untrusted Data consente Object Injection nel plugin Radius Booking — Booking Calendar for Appointments & Services
- Gravità
- CVSS 9,8 (critical)
- Versioni interessate
- Radius Booking fino a versione 1.0.20
- Correzione
- Non riportato – monitora i canali ufficiali del plugin
- Stato
- Pubblicato su NVD 6 novembre 2026. Nessun exploit segnalato su GitHub. Awareness segnalata su X (2 post in 24 ore).
- Azione
- Verifica versione Radius Booking, limita esposizione del plugin, applica WAF, valida input, monitora patch ufficiale
Fonti: NVD, CVE-2026-119516