CVE-2026-14216
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.7 nie wymaga uwierzytelnienia przed przetworzeniem kolejki oczekujących powiadomień, co pozwala nieuwierzytelnionemu użytkownikowi na wymuszenie wysyłki oczekujących powiadomień i wywołań integracyjnych.
Ocena ryzyka
Nieuwierzytelniony atakujący może wysyłać niechciane powiadomienia lub wywoływać integracje, co może prowadzić do nadużyć, spamu lub zakłócenia działania systemu.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 2.4.7 lub nowszej oraz wdrożenie uwierzytelniania dla przetwarzania kolejki powiadomień.
Inne podatności w Booking for Appointments and Events Calendar
Zobacz wszystkie- CVE-2026-77704Niskie ryzyko· EPSS 3%
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.9 nie sprawdza, czy użytkownik posiada wymagane uprawnienia przed zmianą statusu wizyty, co pozwala klientom na ustawianie dowolnych statusów wizyt, na które są zapisani, w tym zatwierdzanie własnych rezerwacji oczekujących na zatwierdzenie oraz nadpisywanie statusów rezerwacji innych klientów na wspólnej wizycie.
- CVE-2026-14212Średnie
Wtyczka Booking for Appointments and Events Calendar przed wersją 9.8 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest właścicielem aktualizowanego konta dostawcy. Pozwala to każdemu pracownikowi z loginem do Panelu Pracownika na nadpisanie hasła kabiny innego pracownika i przejęcie jego konta.
- CVE-2026-14213Niskie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.6 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest przypisany do odwiedzanego spotkania. Umożliwia to każdemu pracownikowi odczytanie dowolnego spotkania po jego identyfikatorze i ujawnienie danych osobowych klienta, który dokonał rezerwacji.
- CVE-2026-14214Niskie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.4 nie ogranicza, które pola mogą być zapisywane podczas importu klientów. Użytkownik z rolą Amelia Manager może modyfikować dowolne kolumny dowolnego rekordu użytkownika, podając je w żądaniu importu.
Oryginalny opis (angielski, źródło NVD)
The Booking for Appointments and Events Calendar WordPress plugin before 2.4.7 does not require authentication before processing its pending notification queue, allowing an unauthenticated user to force the dispatch of queued notifications and integration callbacks.