CVE-2025-67597
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Fluent Booking (fluent-booking) w wersjach do 1.9.11 włącznie zawiera lukę braku autoryzacji. Pozwala ona na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Ocena ryzyka
Osoba atakująca może wykonać działania, do których nie powinna mieć uprawnień, co może prowadzić do nieautoryzowanego dostępu lub modyfikacji danych. Dotyczy to instalacji WordPress z podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę Fluent Booking do wersji nowszej niż 1.9.11. Sprawdź, czy nie doszło do nieautoryzowanych zmian w konfiguracji.
Inne podatności w Fluent Booking
Zobacz wszystkie- CVE-2026-9576Średnie
Wtyczka Fluent Booking dla WordPress przed wersją 2.1.2 nie weryfikuje własności żądanego group_id przed eksportem danych uczestników przez endpoint eksportu. Użytkownicy z rolą co najmniej Calendar Manager mogą pobierać dane osobowe (PII) uczestników z grup kalendarza, których nie są właścicielami.
- CVE-2025-13756Średnie
Wtyczka Fluent Booking dla WordPressa jest podatna na nieautoryzowany import i zarządzanie kalendarzem z powodu braku sprawdzenia uprawnień w funkcji "importCalendar" we wszystkich wersjach do 1.9.11 włącznie. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta lub wyższym może importować dowolne kalendarze i zarządzać nimi.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Shahjahan Jewel Fluent Booking fluent-booking allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Fluent Booking: from n/a through <= 1.9.11.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS