CVE-2025-13756
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Fluent Booking dla WordPressa jest podatna na nieautoryzowany import i zarządzanie kalendarzem z powodu braku sprawdzenia uprawnień w funkcji "importCalendar" we wszystkich wersjach do 1.9.11 włącznie. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta lub wyższym może importować dowolne kalendarze i zarządzać nimi.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może importować i modyfikować kalendarze, co może prowadzić do nieautoryzowanych zmian w harmonogramie lub ujawnienia informacji. Może to zakłócić działanie witryny i naruszyć integralność danych.
Rekomendacja
Zaktualizuj wtyczkę Fluent Booking do wersji nowszej niż 1.9.11, jeśli jest dostępna. Jeśli nie, rozważ wyłączenie wtyczki do czasu wydania poprawki.
Inne podatności w Fluent Booking
Zobacz wszystkie- CVE-2026-9576Średnie
Wtyczka Fluent Booking dla WordPress przed wersją 2.1.2 nie weryfikuje własności żądanego group_id przed eksportem danych uczestników przez endpoint eksportu. Użytkownicy z rolą co najmniej Calendar Manager mogą pobierać dane osobowe (PII) uczestników z grup kalendarza, których nie są właścicielami.
- CVE-2025-67597Średnie
Wtyczka Fluent Booking (fluent-booking) w wersjach do 1.9.11 włącznie zawiera lukę braku autoryzacji. Pozwala ona na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Fluent Booking plugin for WordPress is vulnerable to unauthorized calendar import and management due to a missing capability check on the "importCalendar" function in all versions up to, and including, 1.9.11. This makes it possible for authenticated attackers, with subscriber level access and above, to import arbitrary calendars and manage them.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS