CVE-2026-11866
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Wtyczka Appointment Booking Plugin dla WordPress przed wersją 5.6.3 nie weryfikuje tokena CSRF w kilku akcjach zmieniających stan systemu, obsługiwanych przez centralny dyspozytor żądań. Umożliwia to atakującym wykonanie uprzywilejowanych działań, takich jak nadpisanie konfiguracji formularza rezerwacji lub odłączenie podłączonej bramki płatności, poprzez fałszerstwo żądania międzywitrynowego (CSRF) wobec zalogowanego administratora.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad konfiguracją rezerwacji i płatności przez atakującego bez wiedzy administratora, co może prowadzić do utraty danych klientów, przerwania działania usługi lub kradzieży środków finansowych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Appointment Booking Plugin do wersji 5.6.3 lub nowszej, która zawiera poprawkę usuwającą brak walidacji tokena CSRF.
Inne podatności w Appointment Booking Plugin
Zobacz wszystkie- CVE-2026-105198Średnie
Wtyczka WordPress Appointment Booking Plugin przed wersją 5.7.3 nie weryfikuje, czy osoba wywołująca jest właścicielem zamówienia wskazanego przez identyfikator pozycji zamówienia, przed wyświetleniem podsumowania potwierdzenia. Nieuwierzytelniony odwiedzający może uzyskać dane klienta, takie jak imię i nazwisko, dane kontaktowe oraz kod potwierdzenia zamówienia, podając kolejny identyfikator pozycji zamówienia.
- CVE-2026-105197Niskie
Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.5 nie weryfikuje, czy użytkownik personelu zaplecza jest uprawniony do działania na konkretnym rekordzie przeznaczonym do usunięcia. Uwierzytelniony użytkownik z rolą pracownika ograniczoną do rekordów może nieodwracalnie usunąć dowolne zamówienie, klienta lub transakcję na stronie, w tym rekordy należące do innych pracowników i poza ich przydzielonym zakresem.
- CVE-2026-105196Niskie
Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.9 nie egzekwuje autoryzacji na poziomie rekordu w kilku akcjach API AI Abilities. Uwierzytelniony użytkownik z rolą LatePoint Agent, zwykle ograniczony do własnych rekordów, może czytać i modyfikować dane profilowe innych agentów oraz czytać rezerwacje innych agentów i powiązane dane klientów, gdy funkcja Abilities API jest włączona.
- CVE-2026-15250Średnie
Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.8 nie ogranicza, które pola rezerwacji może ustawić nieuwierzytelniony gość, co pozwala na przypisanie uprzywilejowanego pola, takiego jak status zatwierdzenia, i ominięcie procesu zatwierdzania rezerwacji.
Oryginalny opis (angielski, źródło NVD)
The Appointment Booking Plugin WordPress plugin before 5.6.3 does not validate a CSRF nonce on several state-changing actions handled by its central request dispatcher, allowing attackers to perform privileged actions, such as overwriting the booking-form configuration or disconnecting the connected payment gateway, via Cross-Site Request Forgery against a logged-in administrator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS