CVE-2026-14326

NiskieCVSS 3.8

Opublikowano: 02/09/2026(UTC)Zaktualizowano: 03/09/2026(UTC)Przetłumaczono: 02/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka Timetics WordPress do wersji 1.0.61 nie egzekwuje własności obiektów podczas aktualizacji spotkań przez REST API, co pozwala użytkownikom z niestandardową rolą personelu na modyfikowanie, wyłączanie lub przejmowanie spotkań należących do innych członków personelu.

Ocena ryzyka

Ryzyko naruszenia integralności danych i poufności spotkań, a także możliwość nieautoryzowanego przejęcia kontroli nad spotkaniami innych użytkowników.

Rekomendacja

Zaktualizuj wtyczkę Timetics do najnowszej wersji, która naprawia ten problem, oraz zweryfikuj uprawnienia użytkowników z rolą personelu.

Inne podatności w Timetics WordPress plugin

CVE-2026-14322Średnie
Wtyczka Timetics do WordPressa przed wersją 1.0.57 nie wymaga statusu oczekującego lub niezapłaconego dla nowych rezerwacji utworzonych przez metodę płatności inną niż rozpoznane bramki. Pozwala to nieuwierzytelnionym użytkownikom tworzyć w pełni zatwierdzone rezerwacje na płatne spotkania bez dokonywania płatności.

Oryginalny opis (angielski, źródło NVD)

The Timetics WordPress plugin through 1.0.61 does not enforce per-object ownership when updating appointments through its REST API, allowing users with its custom staff role to modify, disable, or take over appointments belonging to other staff members.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS