CVE-2026-14311

ŚrednieCVSS 5.4

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka Booking for Appointments and Events Calendar – Amelia dla WordPressa, we wszystkich wersjach do 2.4.4 włącznie, jest podatna na nieautoryzowany dostęp i modyfikację danych z powodu braku weryfikacji własności na punkcie końcowym /users/customers/<id>. Umożliwia to uwierzytelnionym atakującym z rolą wpamelia-provider przeglądanie i modyfikowanie dowolnych klientów, w tym resetowanie haseł. Przejęcie kont użytkowników WordPressa, z rolami do Edytora włącznie, jest również możliwe, jeśli ten użytkownik dokonał rezerwacji w Amelia. Podatność dotyczy tylko wersji Premium wtyczki, gdzie obecny jest Panel Pracownika.

Ocena ryzyka

Podatność umożliwia atakującym z rolą providera przejęcie kont użytkowników i modyfikację danych klientów, co może prowadzić do naruszenia integralności danych i eskalacji uprawnień.

Rekomendacja

Zaleca się aktualizację wtyczki Amelia do wersji 2.4.5 lub nowszej, która zawiera poprawkę. Należy również ograniczyć dostęp do punktu końcowego /users/customers/<id> i wdrożyć weryfikację własności.

Inne podatności w Booking for Appointments and Events Calendar – Amelia

CVE-2026-16582Średnie
Wtyczka Booking for Appointments and Events Calendar – Amelia dla WordPressa, we wszystkich wersjach do 2.4.5 włącznie, jest podatna na nieautoryzowaną modyfikację danych. Wynika to z akceptowania przez wtyczkę identyfikatora realizacji pakietu dostarczonego przez klienta jako dowodu płatności bez jego walidacji. Umożliwia to nieuwierzytelnionym atakującym tworzenie zatwierdzonych rezerwacji wizyt bez dokonania płatności.

Oryginalny opis (angielski, źródło NVD)

The Booking for Appointments and Events Calendar – Amelia plugin for WordPress is vulnerable to unauthorized access and modification of data due to a missing ownership verification on /users/customers/<id> endpoint in all versions up to, and including, 2.4.4. This makes it possible for authenticated attackers, with wpamelia-provider role, to view and modify arbitrary customers, including password reset. Takeover of WordPress user accounts, with the roles up to Editor, is also possible if that user had made an Amelia booking. This vulnerability affects only the Premium version of the plugin, where the Employee Panel is present.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS