CVE-2026-14212
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Booking for Appointments and Events Calendar przed wersją 9.8 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest właścicielem aktualizowanego konta dostawcy. Pozwala to każdemu pracownikowi z loginem do Panelu Pracownika na nadpisanie hasła kabiny innego pracownika i przejęcie jego konta.
Ocena ryzyka
Ryzyko obejmuje przejęcie kont pracowników, co może prowadzić do nieautoryzowanego dostępu do danych, manipulacji harmonogramem lub innych szkód. Atakujący może również wykorzystać przejęte konto do dalszych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki Booking for Appointments and Events Calendar do wersji 9.8 lub nowszej. Należy również natychmiast sprawdzić, czy nie doszło do nieautoryzowanych zmian haseł i rozważyć wymuszenie zmiany haseł dla wszystkich pracowników.
Inne podatności w Booking for Appointments and Events Calendar
Zobacz wszystkie- CVE-2026-10148Średnie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa w wersjach do 2.4.9 włącznie jest podatna na Stored Cross-Site Scripting poprzez wiele widgetów Elementora. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych parametru 'load_manually' w metodach render() klas. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi, mogący korzystać z Elementora, może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.
- CVE-2026-14215Średnie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.9 nie wymaga uwierzytelnienia ani ważnego tokenu żądania przed uruchomieniem łańcucha akcji po dokonaniu rezerwacji, co pozwala nieuwierzytelnionemu użytkownikowi wywołać powiadomienia o rezerwacji i wywołania zwrotne integracji dla rezerwacji poprzez enumerację jej identyfikatora.
- CVE-2026-77704Niskie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.9 nie sprawdza, czy użytkownik posiada wymagane uprawnienia przed zmianą statusu wizyty, co pozwala klientom na ustawianie dowolnych statusów wizyt, na które są zapisani, w tym zatwierdzanie własnych rezerwacji oczekujących na zatwierdzenie oraz nadpisywanie statusów rezerwacji innych klientów na wspólnej wizycie.
- CVE-2026-14216Średnie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.7 nie wymaga uwierzytelnienia przed przetworzeniem kolejki oczekujących powiadomień, co pozwala nieuwierzytelnionemu użytkownikowi na wymuszenie wysyłki oczekujących powiadomień i wywołań integracyjnych.
- CVE-2026-14213Niskie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.6 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest przypisany do odwiedzanego spotkania. Umożliwia to każdemu pracownikowi odczytanie dowolnego spotkania po jego identyfikatorze i ujawnienie danych osobowych klienta, który dokonał rezerwacji.
- CVE-2026-14214Niskie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.4 nie ogranicza, które pola mogą być zapisywane podczas importu klientów. Użytkownik z rolą Amelia Manager może modyfikować dowolne kolumny dowolnego rekordu użytkownika, podając je w żądaniu importu.
Oryginalny opis (angielski, źródło NVD)
The Booking for Appointments and Events Calendar WordPress plugin before 9.8 does not verify that an authenticated employee (provider) owns the provider account being updated, allowing any employee with an Employee Panel login to overwrite another employee's cabinet password and take over their account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS