CVE-2026-14322

ŚrednieCVSS 5.3

Opublikowano: 22/07/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Wtyczka Timetics do WordPressa przed wersją 1.0.57 nie wymaga statusu oczekującego lub niezapłaconego dla nowych rezerwacji utworzonych przez metodę płatności inną niż rozpoznane bramki. Pozwala to nieuwierzytelnionym użytkownikom tworzyć w pełni zatwierdzone rezerwacje na płatne spotkania bez dokonywania płatności.

Ocena ryzyka

Ryzyko polega na utracie przychodów i możliwości nadużyć przez nieuwierzytelnionych użytkowników.

Rekomendacja

Zaleca się aktualizację wtyczki Timetics do wersji 1.0.57 lub nowszej.

Inne podatności w Timetics WordPress plugin

CVE-2026-14326Niskie
Wtyczka Timetics WordPress do wersji 1.0.61 nie egzekwuje własności obiektów podczas aktualizacji spotkań przez REST API, co pozwala użytkownikom z niestandardową rolą personelu na modyfikowanie, wyłączanie lub przejmowanie spotkań należących do innych członków personelu.

Oryginalny opis (angielski, źródło NVD)

The Timetics WordPress plugin before 1.0.57 does not enforce a pending or unpaid status for new bookings created through a payment method other than its recognised gateways, allowing unauthenticated users to create fully-approved bookings for priced appointments without making any payment.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS