CVE-2025-64261
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Appointment Booking Calendar zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.3.95 włącznie.
Ocena ryzyka
Nieautoryzowani użytkownicy mogą uzyskać dostęp do funkcji kalendarza rezerwacji, co może prowadzić do manipulacji rezerwacjami lub wycieku danych klientów.
Rekomendacja
Zaktualizuj wtyczkę do wersji z poprawką. Sprawdź uprawnienia i upewnij się, że tylko upoważnieni użytkownicy mają dostęp do zarządzania rezerwacjami.
Inne podatności w Appointment Booking Calendar
Zobacz wszystkie- CVE-2026-13358Średnie
Wtyczka Appointment Booking Calendar dla WordPressa do wersji 1.6.12.10 włącznie jest podatna na Insecure Direct Object Reference przez parametr ssa_past_appointments z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą uzyskać dostęp do rekordów wizyt innych użytkowników, w tym tokenów własności (32-znakowe hashe) i pełnych danych osobowych (PII). Endpoint REST jest zarejestrowany bezwarunkowo i wymaga tylko uprawnień edit_posts.
- CVE-2026-12113Średnie
Wtyczka Appointment Booking Calendar dla WordPressa do wersji 1.4.02 włącznie ujawnia wrażliwe dane poprzez parametr cpabc_appointments_filter_list. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wyodrębnienie danych osobowych klientów, takich jak imiona, adresy e-mail, numery telefonów, komentarze do rezerwacji i inne informacje umożliwiające identyfikację.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in codepeople Appointment Booking Calendar appointment-booking-calendar allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Appointment Booking Calendar: from n/a through <= 1.3.95.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS