CVE-2026-14212
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Booking for Appointments and Events Calendar przed wersją 9.8 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest właścicielem aktualizowanego konta dostawcy. Pozwala to każdemu pracownikowi z loginem do Panelu Pracownika na nadpisanie hasła kabiny innego pracownika i przejęcie jego konta.
Ocena ryzyka
Ryzyko obejmuje przejęcie kont pracowników, co może prowadzić do nieautoryzowanego dostępu do danych, manipulacji harmonogramem lub innych szkód. Atakujący może również wykorzystać przejęte konto do dalszych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki Booking for Appointments and Events Calendar do wersji 9.8 lub nowszej. Należy również natychmiast sprawdzić, czy nie doszło do nieautoryzowanych zmian haseł i rozważyć wymuszenie zmiany haseł dla wszystkich pracowników.
Inne podatności w Booking for Appointments and Events Calendar
Zobacz wszystkie- CVE-2026-77704Niskie ryzyko· EPSS 3%
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.9 nie sprawdza, czy użytkownik posiada wymagane uprawnienia przed zmianą statusu wizyty, co pozwala klientom na ustawianie dowolnych statusów wizyt, na które są zapisani, w tym zatwierdzanie własnych rezerwacji oczekujących na zatwierdzenie oraz nadpisywanie statusów rezerwacji innych klientów na wspólnej wizycie.
- CVE-2026-14216Średnie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.7 nie wymaga uwierzytelnienia przed przetworzeniem kolejki oczekujących powiadomień, co pozwala nieuwierzytelnionemu użytkownikowi na wymuszenie wysyłki oczekujących powiadomień i wywołań integracyjnych.
- CVE-2026-14213Niskie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.6 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest przypisany do odwiedzanego spotkania. Umożliwia to każdemu pracownikowi odczytanie dowolnego spotkania po jego identyfikatorze i ujawnienie danych osobowych klienta, który dokonał rezerwacji.
- CVE-2026-14214Niskie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.4 nie ogranicza, które pola mogą być zapisywane podczas importu klientów. Użytkownik z rolą Amelia Manager może modyfikować dowolne kolumny dowolnego rekordu użytkownika, podając je w żądaniu importu.
Oryginalny opis (angielski, źródło NVD)
The Booking for Appointments and Events Calendar WordPress plugin before 9.8 does not verify that an authenticated employee (provider) owns the provider account being updated, allowing any employee with an Employee Panel login to overwrite another employee's cabinet password and take over their account.