CVE-2025-64275
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Booking Manager (autorstwa wpdevelop) jest podatna na atak typu Stored Cross-site Scripting (XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność dotyczy wersji od nieznanej do 2.1.17 włącznie.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który zostanie zapisany i wykonany w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przekierowań lub innych działań w kontekście ofiary. Ryzyko jest realne, jeśli użytkownik odwiedzi zainfekowaną stronę.
Rekomendacja
Zaktualizuj wtyczkę Booking Manager do wersji nowszej niż 2.1.17, gdy tylko będzie dostępna. Dodatkowo wdrożyć walidację danych wejściowych i edukować użytkowników w zakresie bezpiecznego przeglądania.
Inne podatności w Booking Manager
Zobacz wszystkie- CVE-2026-91025Średnie
Wtyczka WordPress Booking Manager w wersji przed 2.1.21 nie weryfikuje, czy żądanie modyfikacji ustawień specyficznych dla użytkownika dotyczy konta osoby wysyłającej żądanie. Uwierzytelnieni użytkownicy z poziomem subskrybenta i wyższym mogą tworzyć lub nadpisywać ustawienia wtyczki na kontach dowolnych użytkowników, w tym administratorów.
- CVE-2026-91024Średnie
Wtyczka WordPress Booking Manager w wersji przed 2.1.21 nie sanityzuje ani nie escapuje wartości pobieranych z zewnętrznego kanału iCalendar przed użyciem ich w zapytaniu SQL. Uwierzytelnieni użytkownicy z poziomem autora i wyższym mogą przeprowadzać ataki SQL injection, importując kontrolowany przez siebie kanał.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in wpdevelop Booking Manager booking-manager allows Stored XSS.This issue affects Booking Manager: from n/a through <= 2.1.17.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS