CVE-2026-105197
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.5 nie weryfikuje, czy użytkownik personelu zaplecza jest uprawniony do działania na konkretnym rekordzie przeznaczonym do usunięcia. Uwierzytelniony użytkownik z rolą pracownika ograniczoną do rekordów może nieodwracalnie usunąć dowolne zamówienie, klienta lub transakcję na stronie, w tym rekordy należące do innych pracowników i poza ich przydzielonym zakresem.
Ocena ryzyka
Nieautoryzowane usunięcie danych może prowadzić do utraty ważnych informacji biznesowych, zakłócenia operacji i naruszenia integralności danych. Ryzyko dotyczy instalacji z wtyczką Appointment Booking Plugin.
Rekomendacja
Zaktualizuj wtyczkę Appointment Booking Plugin do wersji 5.6.5 lub nowszej, która zawiera poprawkę autoryzacji na poziomie rekordu.
Inne podatności w Appointment Booking Plugin
Zobacz wszystkie- CVE-2026-105198Średnie
Wtyczka WordPress Appointment Booking Plugin przed wersją 5.7.3 nie weryfikuje, czy osoba wywołująca jest właścicielem zamówienia wskazanego przez identyfikator pozycji zamówienia, przed wyświetleniem podsumowania potwierdzenia. Nieuwierzytelniony odwiedzający może uzyskać dane klienta, takie jak imię i nazwisko, dane kontaktowe oraz kod potwierdzenia zamówienia, podając kolejny identyfikator pozycji zamówienia.
- CVE-2026-105196Niskie
Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.9 nie egzekwuje autoryzacji na poziomie rekordu w kilku akcjach API AI Abilities. Uwierzytelniony użytkownik z rolą LatePoint Agent, zwykle ograniczony do własnych rekordów, może czytać i modyfikować dane profilowe innych agentów oraz czytać rezerwacje innych agentów i powiązane dane klientów, gdy funkcja Abilities API jest włączona.
- CVE-2026-15250Średnie
Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.8 nie ogranicza, które pola rezerwacji może ustawić nieuwierzytelniony gość, co pozwala na przypisanie uprzywilejowanego pola, takiego jak status zatwierdzenia, i ominięcie procesu zatwierdzania rezerwacji.
- CVE-2026-11866Średnie
Wtyczka Appointment Booking Plugin dla WordPress przed wersją 5.6.3 nie weryfikuje tokena CSRF w kilku akcjach zmieniających stan systemu, obsługiwanych przez centralny dyspozytor żądań. Umożliwia to atakującym wykonanie uprzywilejowanych działań, takich jak nadpisanie konfiguracji formularza rezerwacji lub odłączenie podłączonej bramki płatności, poprzez fałszerstwo żądania międzywitrynowego (CSRF) wobec zalogowanego administratora.
Oryginalny opis (angielski, źródło NVD)
The Appointment Booking Plugin WordPress plugin before 5.6.5 does not verify that a backend staff user is authorized to act on the specific record targeted for deletion, allowing an authenticated user with a record-scoped staff role to irreversibly delete any order, customer, or transaction on the site, including records belonging to other staff and outside their assigned scope.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS