CVE-2026-105196
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.9 nie egzekwuje autoryzacji na poziomie rekordu w kilku akcjach API AI Abilities. Uwierzytelniony użytkownik z rolą LatePoint Agent, zwykle ograniczony do własnych rekordów, może czytać i modyfikować dane profilowe innych agentów oraz czytać rezerwacje innych agentów i powiązane dane klientów, gdy funkcja Abilities API jest włączona.
Ocena ryzyka
Ujawnienie i modyfikacja danych innych agentów i klientów może naruszyć prywatność, prowadzić do nieautoryzowanych zmian i eskalacji uprawnień. Ryzyko dotyczy instalacji z włączoną funkcją Abilities API.
Rekomendacja
Zaktualizuj wtyczkę Appointment Booking Plugin do wersji 5.6.9 lub nowszej, która zawiera poprawkę autoryzacji na poziomie rekordu w API AI Abilities.
Inne podatności w Appointment Booking Plugin
Zobacz wszystkie- CVE-2026-105198Średnie
Wtyczka WordPress Appointment Booking Plugin przed wersją 5.7.3 nie weryfikuje, czy osoba wywołująca jest właścicielem zamówienia wskazanego przez identyfikator pozycji zamówienia, przed wyświetleniem podsumowania potwierdzenia. Nieuwierzytelniony odwiedzający może uzyskać dane klienta, takie jak imię i nazwisko, dane kontaktowe oraz kod potwierdzenia zamówienia, podając kolejny identyfikator pozycji zamówienia.
- CVE-2026-105197Niskie
Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.5 nie weryfikuje, czy użytkownik personelu zaplecza jest uprawniony do działania na konkretnym rekordzie przeznaczonym do usunięcia. Uwierzytelniony użytkownik z rolą pracownika ograniczoną do rekordów może nieodwracalnie usunąć dowolne zamówienie, klienta lub transakcję na stronie, w tym rekordy należące do innych pracowników i poza ich przydzielonym zakresem.
- CVE-2026-15250Średnie
Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.8 nie ogranicza, które pola rezerwacji może ustawić nieuwierzytelniony gość, co pozwala na przypisanie uprzywilejowanego pola, takiego jak status zatwierdzenia, i ominięcie procesu zatwierdzania rezerwacji.
- CVE-2026-11866Średnie
Wtyczka Appointment Booking Plugin dla WordPress przed wersją 5.6.3 nie weryfikuje tokena CSRF w kilku akcjach zmieniających stan systemu, obsługiwanych przez centralny dyspozytor żądań. Umożliwia to atakującym wykonanie uprzywilejowanych działań, takich jak nadpisanie konfiguracji formularza rezerwacji lub odłączenie podłączonej bramki płatności, poprzez fałszerstwo żądania międzywitrynowego (CSRF) wobec zalogowanego administratora.
Oryginalny opis (angielski, źródło NVD)
The Appointment Booking Plugin WordPress plugin before 5.6.9 does not enforce per-record authorization on several of its AI Abilities API actions, allowing an authenticated user holding the LatePoint Agent role, normally restricted to their own records, to read and modify other agents' profile data and read other agents' bookings and associated customer details when the Abilities API feature is enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS