CVE-2026-109368

ŚrednieCVSS 6.5

Opublikowano: 17/10/2026(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Wtyczka WP Booking System – Booking Calendar dla WordPressa w wersjach do 2.1.0.3 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'id'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może odczytać prywatne opisy rezerwacji i identyfikatory rezerwacji z dowolnego kalendarza zarządzanego przez witrynę.

Ocena ryzyka

Atakujący z podstawowym kontem może uzyskać dostęp do prywatnych danych rezerwacji, co może naruszyć poufność informacji o klientach i rezerwacjach.

Rekomendacja

Zaktualizuj wtyczkę WP Booking System do wersji nowszej niż 2.1.0.3, która naprawia tę podatność. Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do kalendarzy i monitoruj nietypowe żądania z parametrem 'id'.

Inne podatności w WP Booking System – Booking Calendar

CVE-2026-107712Średnie
Wtyczka WP Booking System – Booking Calendar dla WordPressa jest podatna na czasową iniekcję SQL poprzez parametr 'current_month' we wszystkich wersjach do 2.1.0.1 włącznie, z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym dołączanie dodatkowych zapytań SQL do istniejących zapytań, które mogą być użyte do wyodrębnienia wrażliwych informacji z bazy danych. Jest to podatność regresyjna — sprawdzenie uprawnień wprowadzone w wersjach 2.0.19.11–2.0.19.14 w celu rozwiązania CVE-2024-50425 zostało usunięte w wersji 2.1, co oznacza, że każde uwierzytelnione konto na poziomie subskrybenta może dotrzeć do podatnego handlera bez wymaganej walidacji nonce.

Oryginalny opis (angielski, źródło NVD)

The WP Booking System – Booking Calendar plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 2.1.0.3 via the 'id' parameter. This makes it possible for authenticated attackers, with subscriber-level access and above, to extract private per-event booking descriptions and booking IDs from any calendar managed by the site.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS