CVE-2026-14221
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność w wtyczce Easy Appointments WordPress do wersji 4.0. Brak sprawdzania uprawnień w akcjach zarządzania rezerwacjami, polegający tylko na nonce, pozwala użytkownikom z dostępem na poziomie współautora na odczyt wszystkich szczegółów rezerwacji oraz tworzenie, modyfikowanie i usuwanie rezerwacji.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może uzyskać dostęp do poufnych danych i manipulować rezerwacjami, co może prowadzić do naruszenia integralności danych.
Rekomendacja
Zaktualizuj wtyczkę Easy Appointments do wersji nowszej niż 4.0.
Oryginalny opis (angielski, źródło NVD)
The Easy Appointments WordPress plugin through 4.0 does not perform capability checks in several of its appointment-management actions, relying only on a nonce that any authenticated user can obtain, allowing users with contributor-level access to read all customers' appointment details and to create, modify, and delete bookings.