CVE-2026-14213
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.6 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest przypisany do odwiedzanego spotkania. Umożliwia to każdemu pracownikowi odczytanie dowolnego spotkania po jego identyfikatorze i ujawnienie danych osobowych klienta, który dokonał rezerwacji.
Ocena ryzyka
Pracownicy mogą uzyskać dostęp do danych osobowych klientów, do których nie powinni mieć wglądu, co narusza prywatność i może prowadzić do wycieku danych.
Rekomendacja
Zaktualizuj wtyczkę Booking for Appointments and Events Calendar do wersji 2.4.6 lub nowszej, która zawiera poprawkę. Przeprowadź audyt uprawnień pracowników.
Oryginalny opis (angielski, źródło NVD)
The Booking for Appointments and Events Calendar WordPress plugin before 2.4.6 does not verify that an authenticated employee (provider) is assigned to the appointment being accessed, allowing any employee to read any appointment by its identifier and disclose the booked customer's personal data.