CVE-2026-11887
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Salon Booking System dla WordPress przed wersją 10.30.20 nie posiada odpowiednich kontroli autoryzacji w jednej z akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi (np. subskrybentowi) na modyfikację ustawień wtyczki i ominięcie ręcznego zatwierdzania nowych rezerwacji.
Ocena ryzyka
Ryzyko polega na tym, że nieuprawniony użytkownik może zmienić ustawienia wtyczki, co może prowadzić do akceptacji fałszywych lub niechcianych rezerwacji bez zgody administratora, potencjalnie zakłócając działanie salonu.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Salon Booking System do wersji 10.30.20 lub nowszej, która zawiera niezbędne poprawki autoryzacji.
Inne podatności w Salon Booking System
Zobacz wszystkie- CVE-2026-40768Wysokie
W systemie rezerwacji salonu w wersjach do 10.30.24 występuje podatność na nieautoryzowane bezpośrednie odniesienia do obiektów (IDOR). Umożliwia to atakującym dostęp do zasobów, do których nie powinni mieć dostępu.
- CVE-2026-66453Krytyczne
Wtyczka Salon booking system w wersjach do 10.30.26 zawiera podatność na nieuwierzytelnione złamanie uwierzytelniania (Broken Authentication). Osoba atakująca bez logowania może obejść mechanizmy uwierzytelniania i uzyskać dostęp do kont użytkowników lub administratorów.
- CVE-2026-17023Średnie
Wtyczka Salon Booking System dla WordPressa do wersji 10.30.33 nie przeprowadza żadnej kontroli uprawnień ani nie weryfikuje wartości stanu OAuth w swoim wywołaniu zwrotnym autoryzacji Google Calendar, które jest również podpięte dla nieuwierzytelnionych użytkowników. Umożliwia to nieuwierzytelnionemu atakującemu nadpisanie zapisanych tokenów połączenia z Kalendarzem Google tokenami kontrolowanymi przez atakującego i przejęcie integracji. Wykorzystanie wymaga, aby witryna skonfigurowała własnego klienta OAuth Google dla funkcji kalendarza.
- CVE-2026-17022Wysokie
Wtyczka Salon Booking System dla WordPressa przed wersją 10.30.34 nieprawidłowo weryfikuje token własności rezerwacji przed jej załadowaniem w krokach potwierdzenia kreatora rezerwacji. Umożliwia to nieuwierzytelnionym atakującym ujawnienie rekordów rezerwacji innych klientów, w tym danych osobowych, poprzez podanie sekwencyjnego identyfikatora rezerwacji.
- CVE-2026-17021Średnie
Wtyczka Salon Booking System dla WordPressa przed wersją 10.30.34 nie ogranicza prawidłowo dostępu do niektórych akcji AJAX modyfikacji rezerwacji i nie weryfikuje własności docelowej rezerwacji, co pozwala nieuwierzytelnionym użytkownikom na manipulowanie zapisaną sumą dowolnych rezerwacji.
- CVE-2026-17020Średnie
Wtyczka Salon Booking System dla WordPressa do wersji 10.31.0 nie weryfikuje, czy żądana rezerwacja należy do wywołującego na jednym z jej endpointów REST API, wymagając jedynie podstawowej zdolności odczytu, co pozwala każdemu uwierzytelnionemu użytkownikowi (w tym Subscriberowi lub samodzielnie zarejestrowanemu kontu klienta) na ujawnienie danych osobowych dowolnej rezerwacji klienta, takich jak imię, e-mail, numer telefonu, adres i prywatne notatki, poprzez enumerację identyfikatorów rezerwacji.
- CVE-2026-42666Wysokie
W systemie rezerwacji salonu w wersjach do 10.30.25 występuje nieautoryzowana luka w kontroli dostępu, która może umożliwić nieuprawnionym użytkownikom dostęp do zasobów.
Oryginalny opis (angielski, źródło NVD)
The Salon Booking System WordPress plugin before 10.30.20 does not have proper authorisation checks on one of its AJAX actions, allowing any authenticated user, such as a subscriber, to modify a Salon Booking System WordPress plugin before 10.30.20 setting and bypass the manual approval of new bookings.