CVE-2026-12378
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Appointment Booking Calendar Plugin and Scheduling Plugin dla WordPressa do wersji 1.1.28 nie waliduje danych przed przekazaniem ich do funkcji deserializacji PHP, co pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnych obiektów PHP. Jeśli na stronie dostępny jest odpowiedni łańcuch gadżetów, może to prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość całkowitego przejęcia serwisu WordPress przez nieuwierzytelnionego atakującego, co może skutkować kradzieżą danych, instalacją złośliwego oprogramowania lub dalszym atakiem na infrastrukturę.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej dostępnej wersji, która usuwa tę podatność, lub tymczasowe wyłączenie wtyczki do czasu zastosowania łatki.
Oryginalny opis (angielski, źródło NVD)
The Appointment Booking Calendar Plugin and Scheduling Plugin WordPress plugin through 1.1.28 does not validate data before passing it to a PHP deserialization function, allowing unauthenticated attackers to inject arbitrary PHP objects; where a suitable gadget chain is present on the site this can be leveraged to achieve remote code execution.