CVE-2026-107126

WysokieCVSS 8.8

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress WP Booking System przed wersją 2.1.0.1 nie sanityzuje ani nie escapuje wartości żądania kontrolowanej przez klienta przed zapisaniem jej i późniejszym wyświetleniem w ekranie administracyjnym. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w sesji administratora przeglądającego zapisane dane.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w sesji administratora, co może prowadzić do przejęcia konta, kradzieży danych lub modyfikacji witryny. Ryzyko jest wysokie ze względu na możliwość eskalacji uprawnień.

Rekomendacja

Zaktualizuj wtyczkę WP Booking System do wersji 2.1.0.1 lub nowszej. Sprawdź, czy w bazie danych nie ma złośliwych skryptów.

Inne podatności w WP Booking System WordPress plugin

CVE-2026-109369Średnie
Wtyczka WordPress 'WP Booking System – Booking Calendar' we wszystkich wersjach do 2.1.0.3 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowego weryfikowania, czy użytkownik jest upoważniony do wykonania akcji. Uwierzytelnieni atakujący z uprawnieniami subskrybenta lub wyższymi mogą przyznać sobie i innym użytkownikom dostęp do edycji wszystkich formularzy rezerwacji w witrynie, nadpisując meta user_permission, które zarządza listą kontroli dostępu wtyczki. Wykorzystanie wymaga, aby atakujący miał już delegowane prawa edycji do co najmniej jednego formularza rezerwacji, ponieważ ta delegacja zarówno obniża uprawnienia podmenu do 'read' (czyniąc stronę edycji dostępną), jak i pozwala im uzyskać ważny nonce wpbs_edit_form, który przejdzie walidację dla dowolnego innego form_id.

Oryginalny opis (angielski, źródło NVD)

The WP Booking System WordPress plugin before 2.1.0.1 does not sanitise and escape a client-controllable request value before storing it and later outputting it in an administration screen, allowing unauthenticated attackers to perform Stored Cross-Site Scripting attacks that execute in the session of an administrator who views the stored data.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS