CVE-2026-14211
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 9.7 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest powiązany z klientem, którego dane są dostępne, co pozwala każdemu pracownikowi z loginem do Panelu Pracownika na odczyt i modyfikację danych osobowych dowolnego klienta poprzez enumerację sekwencyjnych identyfikatorów.
Ocena ryzyka
Pracownicy mogą uzyskać dostęp do danych osobowych klientów, co narusza prywatność i może prowadzić do wycieku danych wrażliwych.
Rekomendacja
Zaktualizuj wtyczkę Booking for Appointments and Events Calendar do wersji 9.7 lub nowszej, która zawiera poprawki kontroli dostępu.
Inne podatności w Booking for Appointments and Events Calendar WordPress plugin
Zobacz wszystkie- CVE-2026-77705Wysokie
Wtyczka WordPress Booking for Appointments and Events Calendar w wersji przed 2.4.10 nie weryfikuje, czy użytkownik edytujący rekord klienta lub pracownika ma prawo modyfikować powiązane z nim konto WordPress. Umożliwia to użytkownikom z uprawnieniami do zarządzania klientami lub pracownikami w Amelia ustawienie hasła i adresu e-mail kont WordPress innych użytkowników i przejęcie tych kont.
- CVE-2026-77689Średnie
Wtyczka WordPress Booking for Appointments and Events Calendar w wersji przed 9.8.1 nie weryfikuje, czy płatność została faktycznie pobrana, przed zapisaniem rezerwacji jako opłaconej, ufając bramce płatności wskazanej w publicznym, nieuwierzytelnionym żądaniu rezerwacji, nawet gdy witryna nigdy nie skonfigurowała tej bramki. Umożliwia to nieuwierzytelnionemu atakującemu uzyskanie potwierdzonych, w pełni opłaconych rezerwacji bez pobrania jakiejkolwiek płatności.
Oryginalny opis (angielski, źródło NVD)
The Booking for Appointments and Events Calendar WordPress plugin before 9.7 does not verify that an authenticated employee (provider) is related to the customer whose record is being accessed, allowing any employee with an Employee Panel login to read and modify the stored personal data of any customer by enumerating sequential identifiers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS