Le plugin Amelia Booking pour WordPress est vulnérable aux références directes d'objets non sécurisées (Insecure Direct Object References) dans les versions jusqu'à la version 9.1.2 incluse. Cela est dû au fait que le plugin fournit un accès contrôlé par l'utilisateur aux objets, permettant à un utilisateur de contourner l'autorisation et d'accéder aux ressources du système. Cela permet aux attaquants authentifiés avec des permissions de niveau client ou supérieures de modifier les mots de passe des utilisateurs et potentiellement de prendre le contrôle des comptes administrateur. La vulnérabilité se trouve dans le plugin pro, qui a le même slug.