CVE-2026-13395
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka Online Scheduling and Appointment Booking System dla WordPressa przed wersją 27.8 nie sanityzuje ani nie odpowiednio rzutuje parametru dostarczonego przez użytkownika z nieuwierzytelnionych żądań rezerwacji przed użyciem go w zapytaniu SQL. Pozwala to nieuwierzytelnionym atakującym na przeprowadzenie ataków SQL injection i wyodrębnienie wrażliwych danych, takich jak hashe haseł z bazy danych.
Ocena ryzyka
Nieuwierzytelnieni atakujący mogą uzyskać pełny dostęp do bazy danych, w tym do haseł użytkowników, co może prowadzić do całkowitego przejęcia witryny i kradzieży danych.
Rekomendacja
Natychmiast zaktualizuj wtyczkę Online Scheduling and Appointment Booking System do wersji 27.8 lub nowszej, która zawiera odpowiednie sanityzacja danych wejściowych.
Inne podatności w Online Scheduling and Appointment Booking System
Zobacz wszystkie- CVE-2026-86841Średnie
Wtyczka Online Scheduling and Appointment Booking System przed wersją 28.3 nie zapobiega deserializacji niezaufanych danych wejściowych oraz nie ogranicza prawidłowo uprzywilejowanej funkcji konserwacyjnej do administratorów. Umożliwia to użytkownikom posiadającym niestandardową uprawnienie do zarządzania rezerwacjami (które administrator musi jawnie przypisać) wstrzykiwanie dowolnych obiektów PHP, nadpisywanie uprzywilejowanych opcji witryny oraz odczyt przechowywanych sekretów integracji.
- CVE-2026-86839Niskie
Wtyczka Online Scheduling and Appointment Booking System przed wersją 28.3 nie weryfikuje, czy rekordy wizyt i płatności żądane przez akcje AJAX dla roli personelu należą do żądającego członka personelu. Umożliwia to uwierzytelnionym atakującym z kontem na poziomie personelu przeglądanie, modyfikowanie i usuwanie wizyt i płatności innych członków personelu, w tym powiązanych danych osobowych klientów.
- CVE-2026-91847Średnie
Wtyczka Online Scheduling and Appointment Booking System dla WordPressa przed wersją 28.2 nie weryfikuje, czy żądający jest właścicielem rozmowy z asystentem AI wymienionej w nieuwierzytelnionych akcjach rozmowy. Pozwala to każdemu nieuwierzytelnionemu odwiedzającemu na odczyt wiadomości asystenta innego odwiedzającego oraz wstrzykiwanie wiadomości do trwającej rozmowy.
Oryginalny opis (angielski, źródło NVD)
The Online Scheduling and Appointment Booking System WordPress plugin before 27.8 does not sanitize or properly cast a user-supplied parameter from its unauthenticated front-end booking requests before using it in a SQL query, allowing unauthenticated attackers to perform SQL injection attacks and extract sensitive data such as password hashes from the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS