CVE-2025-13317
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Appointment Booking Calendar for WordPress (wersje do 1.3.96 włącznie) jest podatna na brak autoryzacji, ponieważ udostępnia nieuwierzytelniony punkt końcowy przetwarzania rezerwacji (cpabc_appointments_check_IPN_verification), który ufa powiadomieniom o płatnościach dostarczonym przez atakującego bez weryfikacji ich pochodzenia i autentyczności. Nieuwierzytelnieni atakujący mogą dowolnie potwierdzać rezerwacje i wstawiać je do kalendarza za pomocą parametru 'cpabc_ipncheck', wywołując powiadomienia e-mail i zakłócając działanie.
Ocena ryzyka
Może to prowadzić do fałszywych rezerwacji, zakłócenia operacji, spamu e-mail oraz potencjalnych strat finansowych lub reputacyjnych.
Rekomendacja
Zaktualizuj wtyczkę Appointment Booking Calendar do wersji nowszej niż 1.3.96.
Inne podatności w Appointment Booking Calendar
Zobacz wszystkie- CVE-2026-6723Średnie
Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin dla WordPressa jest podatna na nieprawidłową autoryzację we wszystkich wersjach do 1.6.11.11 włącznie, z powodu punktu końcowego REST API do aktualizacji rezerwacji, który nie ogranicza, które pola mogą być modyfikowane przez klientów uwierzytelnionych tokenem. Umożliwia to nieuwierzytelnionym atakującym modyfikację pól kontrolowanych przez administratora w rezerwacji, w tym fałszowanie potwierdzenia płatności, przypisanie rezerwacji do innego użytkownika oraz zmianę typu usługi.
- CVE-2026-13358Średnie
Wtyczka Appointment Booking Calendar dla WordPressa do wersji 1.6.12.10 włącznie jest podatna na Insecure Direct Object Reference przez parametr ssa_past_appointments z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą uzyskać dostęp do rekordów wizyt innych użytkowników, w tym tokenów własności (32-znakowe hashe) i pełnych danych osobowych (PII). Endpoint REST jest zarejestrowany bezwarunkowo i wymaga tylko uprawnień edit_posts.
- CVE-2026-12113Średnie
Wtyczka Appointment Booking Calendar dla WordPressa do wersji 1.4.02 włącznie ujawnia wrażliwe dane poprzez parametr cpabc_appointments_filter_list. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wyodrębnienie danych osobowych klientów, takich jak imiona, adresy e-mail, numery telefonów, komentarze do rezerwacji i inne informacje umożliwiające identyfikację.
- CVE-2025-64261Średnie
Wtyczka Appointment Booking Calendar zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.3.95 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Appointment Booking Calendar plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 1.3.96. This is due to the plugin exposing an unauthenticated booking processing endpoint (cpabc_appointments_check_IPN_verification) that trusts attacker-supplied payment notifications without verifying their origin, authenticity, or requiring proper authorization checks. This makes it possible for unauthenticated attackers to arbitrarily confirm bookings and insert them into the live calendar via the 'cpabc_ipncheck' parameter, triggering administrative and customer notification emails and disrupting operations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS