CVE-2026-105198
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Appointment Booking Plugin przed wersją 5.7.3 nie weryfikuje, czy osoba wywołująca jest właścicielem zamówienia wskazanego przez identyfikator pozycji zamówienia, przed wyświetleniem podsumowania potwierdzenia. Nieuwierzytelniony odwiedzający może uzyskać dane klienta, takie jak imię i nazwisko, dane kontaktowe oraz kod potwierdzenia zamówienia, podając kolejny identyfikator pozycji zamówienia.
Ocena ryzyka
Nieautoryzowany dostęp do danych osobowych klientów i kodów potwierdzenia zamówień może prowadzić do naruszenia prywatności i oszustw. Organizacja może ponieść konsekwencje prawne i utratę zaufania.
Rekomendacja
Zaktualizuj wtyczkę do wersji 5.7.3 lub nowszej. Rozważ audyt bezpieczeństwa w celu wykrycia ewentualnych nieautoryzowanych dostępów.
Inne podatności w Appointment Booking Plugin
Zobacz wszystkie- CVE-2026-105197Niskie
Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.5 nie weryfikuje, czy użytkownik personelu zaplecza jest uprawniony do działania na konkretnym rekordzie przeznaczonym do usunięcia. Uwierzytelniony użytkownik z rolą pracownika ograniczoną do rekordów może nieodwracalnie usunąć dowolne zamówienie, klienta lub transakcję na stronie, w tym rekordy należące do innych pracowników i poza ich przydzielonym zakresem.
- CVE-2026-105196Niskie
Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.9 nie egzekwuje autoryzacji na poziomie rekordu w kilku akcjach API AI Abilities. Uwierzytelniony użytkownik z rolą LatePoint Agent, zwykle ograniczony do własnych rekordów, może czytać i modyfikować dane profilowe innych agentów oraz czytać rezerwacje innych agentów i powiązane dane klientów, gdy funkcja Abilities API jest włączona.
- CVE-2026-15250Średnie
Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.8 nie ogranicza, które pola rezerwacji może ustawić nieuwierzytelniony gość, co pozwala na przypisanie uprzywilejowanego pola, takiego jak status zatwierdzenia, i ominięcie procesu zatwierdzania rezerwacji.
- CVE-2026-11866Średnie
Wtyczka Appointment Booking Plugin dla WordPress przed wersją 5.6.3 nie weryfikuje tokena CSRF w kilku akcjach zmieniających stan systemu, obsługiwanych przez centralny dyspozytor żądań. Umożliwia to atakującym wykonanie uprzywilejowanych działań, takich jak nadpisanie konfiguracji formularza rezerwacji lub odłączenie podłączonej bramki płatności, poprzez fałszerstwo żądania międzywitrynowego (CSRF) wobec zalogowanego administratora.
Oryginalny opis (angielski, źródło NVD)
The Appointment Booking Plugin WordPress plugin before 5.7.3 does not verify that the caller owns the order referenced by an order-item identifier before rendering that order's confirmation summary, letting an unauthenticated visitor retrieve any customer's name, contact details and order confirmation code by supplying a sequential order-item id.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS